Lei Geral de Proteção de Dados Pessoais
Articles structurants documentés dans la cartographie ACF.
Dix principes : finalité, adéquation, nécessité, libre accès, qualité des données, transparence, sécurité, prévention, non-discrimination, responsabilité et reddition de comptes.
Dix bases légales (plus que le RGPD) : consentement, obligation légale, politiques publiques, études, exécution contractuelle, exercice de droits, protection de la vie, protection de la santé, intérêt légitime, protection du crédit.
Origine raciale, opinions, santé, vie sexuelle, données génétiques ou biométriques : régime renforcé. Consentement spécifique et mis en évidence (« destaque ») ou hypothèses limitatives.
Neuf droits : confirmation, accès, rectification, anonymisation/suppression/blocage, portabilité, suppression des données traitées avec consentement, information sur partage, information sur conséquences du refus, révocation du consentement.
Droit de demander la révision de décisions prises exclusivement sur la base d'un traitement automatisé affectant les intérêts du titulaire (profil, crédit, personnalité, etc.).
Transferts hors Brésil autorisés uniquement vers des pays adéquats, sous garanties contractuelles approuvées par l'ANPD, BCR, ou bases spécifiques (consentement, contrat, obligation légale, etc.).
Obligation de tenir un registre des opérations de traitement, notamment lorsqu'il existe une politique formelle ou par détermination de l'ANPD.
L'ANPD peut exiger un Rapport d'Impact relatif à la Protection des Données personnelles (RIPD - équivalent brésilien de l'AIPD/DPIA) décrivant les processus, risques et mesures de mitigation.
Désignation obligatoire d'un DPO (« Encarregado » selon la LGPD), point de contact entre responsable du traitement, personnes concernées et ANPD. Identité et coordonnées publiées publiquement.
Mesures techniques et administratives de sécurité. Communication à l'ANPD et au titulaire des incidents de sécurité présentant un risque ou un dommage pertinent, dans un délai raisonnable.
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Tenir un registre des opérations de traitement (art. 37)
Désigner un DPO (« Encarregado » selon LGPD) et publier ses coordonnées (art. 41)
Produire un rapport d'impact à la protection des données (RIPD, équivalent brésilien de l'AIPD) sur demande ANPD (art. 38)
Répondre aux droits des titulaires dans les délais (art. 18-19)
Mettre en place des mesures de sécurité techniques et organisationnelles (art. 46)
Notifier l'ANPD et les titulaires en cas d'incident significatif (art. 48)
Encadrer les transferts internationaux (art. 33-36)
Permettre la révision des décisions automatisées affectant le titulaire (art. 20)
Informer le titulaire des finalités, base légale et partage (art. 9)
Recueillir un consentement libre, informé et univoque pour les bases applicables (art. 8)
Si : base légale = consentement
Amende simple par infraction
Amende quotidienne
Autres sanctions accessoires (avertissement, publication, blocage, élimination des données, suspension partielle/totale de l'exploitation)
Pour un acteur européen opérant au Brésil ou ciblant des utilisateurs brésiliens, l'AI Act et la LGPD se cumulent. Articulation pratique : (1) le RIPD (art. 38 LGPD) peut être étendu en analyse équivalente à la FRIA AI Act pour les systèmes haut-risque ; (2) le droit de révision des décisions automatisées (art. 20 LGPD) recouvre une partie des obligations de transparence AI Act (art. 13, 26, 86) mais l'ANPD insiste sur la documentation des critères ; (3) la désignation du DPO (« Encarregado » selon LGPD) est compatible avec la fonction de oversight humain AI Act art. 14.