LGPD: Opciones de cookies y bases legales para webs dirigidas a Brasil

¿Se aplica la LGPD a tu web?

Requisito de la LGPD: la ley abarca el tratamiento realizado en Brasil, el tratamiento destinado a ofrecer bienes o servicios a personas en Brasil o a tratar sus datos, y los datos recogidos mientras la persona se encontraba en Brasil (artículo 3). Ningún umbral de tamaño deja a las webs pequeñas fuera de la ley.

Requisito de la LGPD: son datos personales la información sobre una persona identificada o identificable (artículo 5). Los identificadores de cookies, los historiales de navegación y los perfiles publicitarios entran en esa definición en cuanto pueden vincularse a alguien, aunque no haya un nombre.

Orientación de la ANPD: la guía de cookies de la ANPD señala que los datos de las cookies pueden identificar a personas de forma indirecta, mediante inferencias, registros combinados o perfiles de comportamiento, tanto si la cookie es propia como si no.

Elige una base legal para cada finalidad

Requisito de la LGPD: cada uso de datos personales necesita una base legal del artículo 7 (artículo 11 para los datos sensibles), como el consentimiento, un contrato solicitado por la persona o el interés legítimo. El interés legítimo solo abarca los datos estrictamente necesarios y cede ante los derechos fundamentales de la persona (artículo 10).

Orientación de la ANPD: la guía de cookies no establece ninguna jerarquía entre las bases legales y adopta este criterio sobre los usos habituales.

Consejo práctico: evalúa cada herramienta por lo que hace, no por su etiqueta. Una analítica que comparte identificadores con una plataforma publicitaria ya no es la medición de bajo riesgo que describe la ANPD.

Qué exige un consentimiento válido

Requisito de la LGPD: el consentimiento debe ser libre, informado, inequívoco y otorgado para una finalidad específica; las autorizaciones genéricas son nulas (artículos 5 y 8). El responsable del tratamiento debe poder demostrarlo, y una información previa engañosa o poco clara lo invalida (artículos 8 y 9).

Requisito de la LGPD: las personas pueden revocar el consentimiento en cualquier momento mediante un procedimiento gratuito y facilitado (artículo 8, § 5).

El diseño de banner que recomienda la ANPD

Orientación de la ANPD: la guía presenta estos puntos como buenas prácticas, no como un formato fijado por ley:

• Una opción visible para rechazar todas las cookies no necesarias en la primera y la segunda capa. En los ejemplos de la ANPD, un banner que solo ofrece «Acepto» no da una elección libre.
• Cookies basadas en el consentimiento desactivadas por defecto: sin casillas premarcadas y sin «seguir navegando significa que sí».
• Una segunda capa que agrupe las cookies por finalidad, con consentimiento por finalidad.
• Una forma directa de retirar el consentimiento y de oponerse, más allá de los ajustes del navegador.
• Información que no esté solo en un idioma extranjero y que no sea tan detallada que abrume.

Consejo práctico: usa estos puntos como estándar para las cookies opcionales. Si una herramienta se basa en otra base legal, registra el motivo y explícala igualmente.

Información en portugués que los visitantes puedan entender

Requisito de la LGPD: la información sobre la finalidad, la forma y la duración del tratamiento, la identidad del responsable, la comunicación de datos y los derechos de las personas debe ser clara, adecuada y destacada (artículo 9).

Orientación de la ANPD: ofrecer la información sobre cookies solo en un idioma extranjero es una práctica que debe evitarse. Mantén breve la primera capa, con las finalidades y los plazos de conservación a un solo paso.

Consejo práctico: para los visitantes de Brasil, muestra el banner y la declaración de cookies en portugués, y mantén las traducciones al día con las herramientas que usas. En Passiro, edita los textos de cada idioma en el apartado Translations.

Ejemplo: una tienda online con remarketing

Una tienda online que vende a clientes de Brasil usa cookies de la cesta y del proceso de compra, una herramienta de analítica y un píxel publicitario para remarketing. Un visitante rechaza las cookies opcionales.

Las cookies de la cesta y del proceso de compra sirven para la compra, así que siguen activas. La analítica que solo mide puede basarse en el interés legítimo según la orientación de la ANPD, salvo que también alimente audiencias publicitarias. El píxel se basa en el consentimiento, así que permanece desactivado y el visitante queda fuera de las cargas de audiencias.

Requisito de la LGPD: si la plataforma publicitaria recibe los datos fuera de Brasil, la transferencia necesita una vía del artículo 33, como cláusulas contractuales tipo o un consentimiento específico y destacado para la transferencia. Una cookie publicitaria aceptada no cubre esto.

Consejo práctico: prueba el rechazo en una sesión nueva del navegador: ninguna solicitud del píxel, ninguna cookie publicitaria y ninguna carga de listas de clientes basada en el consentimiento rechazado.

Datos sensibles, menores y nuevas herramientas

Requisito de la LGPD: los datos sensibles, como los datos de salud o religiosos, necesitan un consentimiento específico y destacado u otra base del artículo 11. Los datos de niños y adolescentes deben tratarse en su interés superior, y los datos de niños necesitan, por lo general, el consentimiento específico de uno de los progenitores o del tutor (artículo 14).

Consejo práctico: evalúa estos casos antes de activar la elaboración de perfiles o la publicidad, y trata cada nueva herramienta de marketing como una evaluación nueva. Consulta Mantener el consentimiento actualizado al añadir una nueva herramienta de seguimiento.

Lista de comprobación para tu web

• Base legal: registra la finalidad y la base de cada cookie y píxel.
• Primera visita: confirma que las cookies y las solicitudes basadas en el consentimiento siguen desactivadas.
• Rechazo y retirada: confirma que las etiquetas y las cargas de audiencias se detienen.
• Idioma: comprueba que el banner en portugués coincide con la configuración real.
• Proveedores: confirma el papel de cada destinatario y la vía de transferencia.

Preguntas frecuentes