# LGPD и согласие на cookie в Бразилии: что нужно знать сайтам

> Как бразильский LGPD применяется к cookie: правовые основания, когда нужно согласие, чего ANPD ждет от баннеров cookie и чем он отличается от правил ЕС.

Source: https://www.cookiesh.eu/ru/blog/lgpd-cookie-consent-brazil  
Published: 2026-05-28

## Key takeaways

- Бразильский LGPD (Закон № 13.709/2018) применяется к файлам cookie всякий раз, когда они собирают персональные данные людей в Бразилии или связаны с ними.
- Отдельного закона о cookie в Бразилии нет, поэтому для каждой цели файла cookie нужно одно из правовых оснований LGPD, и для рекламы обычно выбирают согласие.
- Согласие по LGPD должно быть свободным, информированным и недвусмысленным, относиться к конкретным целям и быть отзываемым в любой момент.
- Рекомендации ANPD по cookie предполагают категории по целям, простой способ отклонить необязательные файлы cookie и отсутствие манипулятивного дизайна.
- LGPD распространяется на иностранные компании, которые предлагают товары или услуги людям в Бразилии или обрабатывают собранные там данные.

Общий закон Бразилии о защите данных (LGPD) применяется к файлам cookie всякий раз, когда они собирают персональные данные, например идентификаторы, связанные с человеком или устройством. Отдельного закона о cookie в Бразилии нет, поэтому для каждой цели файла cookie нужно правовое основание по LGPD. Для рекламных и большинства аналитических файлов cookie таким основанием обычно служит согласие, которое должно быть свободным, информированным, недвусмысленным и отзываемым в любой момент.

## Что такое LGPD и на кого он распространяется?

LGPD — это бразильский Закон № 13.709/2018, общий закон страны о защите данных, за соблюдением которого следит национальный орган по защите данных (ANPD). Он во многом повторяет концепции Общего регламента по защите данных (GDPR): контролеры и обработчики, правовые основания, права субъектов данных и подотчетность.

Его действие экстерриториально. Закон применяется, когда обработка происходит в Бразилии, когда она направлена на предложение товаров или услуг людям в Бразилии или касается данных находящихся там лиц, либо когда персональные данные были собраны в Бразилии. Европейская или американская компания с бразильскими клиентами или посетителями, как правило, подпадает под его действие.

## Считаются ли файлы cookie персональными данными по LGPD?

Многие — да. LGPD определяет персональные данные как информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, а идентификаторы cookie, IP-адреса и рекламные идентификаторы могут сделать человека идентифицируемым, особенно в сочетании с другими данными.

Действительно анонимизированные данные выходят за рамки закона, но планка анонимизации высока. Считайте аналитические и рекламные файлы cookie персональными данными, если не можете доказать обратное. Тщательный [аудит файлов cookie](/ru/blog/how-to-run-a-cookie-audit) покажет, какие файлы cookie что собирают, а это отправная точка для выбора правового основания.

## Какое правовое основание применяется к файлам cookie?

Единого ответа нет: для каждой цели файла cookie нужно одно из правовых оснований LGPD, и согласие — лишь одно из них. В этом главное структурное отличие от ЕС, где Директива ePrivacy требует согласия на необязательные файлы cookie независимо от того, какое правовое основание GDPR покрывает последующую обработку.

На практике большинство организаций приходят к знакомой схеме:

- **Строго необходимые файлы cookie**, например сеансовые, файлы cookie безопасности и балансировки нагрузки, обычно могут опираться на законный интерес или на исполнение договора, о котором попросил пользователь.
- **Аналитические файлы cookie** иногда могут опираться на законный интерес после задокументированной проверки баланса интересов, но согласие — более надежный вариант, особенно когда данные передаются третьим сторонам.
- **Рекламные файлы cookie и файлы cookie для межсайтового отслеживания**, как правило, требуют согласия, учитывая, насколько они инвазивны и как трудно обосновать их законным интересом.

Законный интерес по LGPD — не карт-бланш. Обработка должна учитывать законные ожидания и основные права человека, использовать только данные, строго необходимые для цели, а ANPD может запросить отчет о воздействии на защиту данных, если вы опираетесь на это основание. Как к тому же вопросу подходят европейские регуляторы, объясняется в нашей статье [о законном интересе и файлах cookie](/ru/blog/legitimate-interest-and-cookies).

## Когда согласие действительно по LGPD?

Согласие должно быть свободным, информированным и недвусмысленным волеизъявлением для конкретной цели. Общие разрешения ничтожны, а бремя доказывания того, что согласие получено надлежащим образом, несет контролер.

Для баннеров cookie это сводится к практическому чек-листу:

1. Прежде чем запрашивать согласие, понятным языком объясните каждую цель файлов cookie, для бразильской аудитории — на португальском.
2. Не загружайте необязательные файлы cookie, пока человек не сделает выбор.
3. Избегайте заранее отмеченных флажков и не считайте молчание или продолжение просмотра согласием.
4. Предложите вариант отказа, который так же легко найти и использовать, как вариант согласия.
5. Дайте людям возможность позже изменить или отозвать согласие с помощью бесплатной и простой процедуры, например через постоянную ссылку на настройки.
6. Фиксируйте, когда, как и для каких целей было дано согласие.

## Чего ANPD ожидает от баннеров cookie?

ANPD опубликовало рекомендации о файлах cookie и персональных данных, которые во многом напоминают советы европейских регуляторов. Их основные темы — прозрачность, детальный выбор и отсутствие манипуляций.

Рекомендации отдают предпочтение классификации файлов cookie по целям, первому уровню с понятными вариантами, включая отказ от необязательных файлов cookie, второму уровню или политике использования файлов cookie с более подробной информацией и дизайну, который не подталкивает людей к согласию. Это рекомендации, а не закон, но они показывают, как регулятор толкует принципы LGPD при расследовании. Паттерны, которые отвечают и бразильским, и европейским ожиданиям, описаны в статье о том, [как спроектировать баннер cookie, соответствующий требованиям и удобный для пользователей](/ru/blog/cookie-banner-design-best-practices).

Арсенал санкций внушительный. Санкции по LGPD включают предупреждения, публичное оглашение нарушения, блокировку или удаление соответствующих данных и штрафы до 2% выручки компании в Бразилии, но не более 50 млн реалов за одно нарушение.

## Чем LGPD отличается от правил ЕС о cookie?

Два режима часто приводят к похожим баннерам, но опираются на разные правовые основы. В таблице собраны различия, наиболее важные для файлов cookie.

| | ЕС (GDPR и ePrivacy) | Бразилия (LGPD) |
| --- | --- | --- |
| Специальное правило о cookie | Да, ст. 5(3) Директивы ePrivacy | Нет, только общий закон о защите данных |
| Правовое основание для необязательных файлов cookie | Согласие | Любое действительное основание; для рекламы обычно согласие |
| Стандарт согласия | Свободное, конкретное, информированное, недвусмысленное | Свободное, информированное, недвусмысленное, для конкретных целей |
| Охватывает хранение на устройстве неперсональных данных | Да | Только если затронуты персональные данные |
| Регулятор | Национальные органы при координации со стороны EDPB | ANPD |
| Максимальный штраф | 20 млн евро или 4% общемирового годового оборота | 2% выручки в Бразилии, но не более 50 млн реалов за одно нарушение |

Если у вас уже есть настройка, отвечающая [требованиям GDPR к согласию на файлы cookie](/ru/blog/gdpr-cookie-consent-requirements), адаптация для Бразилии сводится в основном к языку, документированию правового основания для каждой цели и аккуратному ведению записей.

## Итоги

Относитесь к LGPD как к близкому родственнику GDPR. В нем нет специального правила о cookie, но согласие остается практическим вариантом по умолчанию для рекламных файлов cookie и более надежным выбором для большей части аналитики, ориентированной на людей в Бразилии. Задокументируйте правовое основание для каждой цели, дайте посетителям понятный вариант отказа и храните записи о согласии, которые можно предъявить по запросу. Такие инструменты, как Cookiesh, умеют показывать бразильским посетителям баннер LGPD с учетом геолокации наряду с вашими вариантами для GDPR и CCPA.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Обязателен ли баннер cookie в Бразилии?

LGPD прямо не упоминает баннеры cookie. На практике, если вы опираетесь на согласие для аналитических или рекламных файлов cookie, баннер или аналогичный интерфейс — самый удобный способ получить и зафиксировать это согласие, и рекомендации ANPD исходят из его наличия.

### Можно ли использовать один баннер cookie для Бразилии и ЕС?

Баннер с предварительным согласием по европейским стандартам обычно отвечает ожиданиям LGPD или превосходит их, поэтому многие компании используют его и для Бразилии. Предложите текст на португальском и убедитесь, что политика использования файлов cookie отражает правовые основания, на которые вы опираетесь именно в Бразилии.

### Кто следит за соблюдением LGPD?

Autoridade Nacional de Proteção de Dados (ANPD) — национальный орган Бразилии по защите данных. Он издает нормативные акты и рекомендации, рассматривает жалобы, проводит расследования и может применять административные санкции.

### Требует ли LGPD назначать ответственного за защиту данных?

Как правило, контролеры должны назначить лицо, ответственное за обработку данных, — так называемого encarregado — и опубликовать его контактные данные. ANPD приняло правила, смягчающие это требование для некоторых небольших операторов обработки, поэтому уточните действующие требования.

## Sources

- [Закон Бразилии № 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)