Brésil
Lei Geral de Proteção de Dados Pessoais
LGPD: Choix en matière de cookies et bases légales pour les sites web destinés au Brésil
La LGPD brésilienne s’applique aux données personnelles collectées via les sites web, y compris les données issues des cookies, des pixels et des formulaires. Ce guide distingue ce que la loi exige, ce que recommande l’autorité de protection des données (ANPD) et ce que nous suggérons en pratique.
En bref
- Qui peut être concerné
- Les organisations, où qu’elles se trouvent, qui traitent des données personnelles au Brésil, proposent des biens ou des services à des personnes au Brésil, ou traitent des données qui y ont été collectées (article 3).
- De quoi il s’agit
- La loi générale brésilienne sur la protection des données, Lei 13.709/2018, dont l’application est contrôlée par l’ANPD. Le guide de l’ANPD sur les cookies est un guide de bonnes pratiques sur son application.
- Choix à proposer
- Une base légale pour chaque finalité. Lorsque vous vous fondez sur le consentement, il doit être libre, éclairé, univoque et facile à révoquer. L’ANPD considère le consentement comme la base la plus adaptée aux cookies publicitaires.
- Actions sur le site web
- Consignez la finalité et la base légale de chaque cookie et pixel.
- Laissez les cookies fondés sur le consentement désactivés jusqu’à ce que le visiteur donne son accord.
- Proposez une option visible pour refuser les cookies non nécessaires.
- Expliquez les finalités et les durées de conservation en portugais aux visiteurs situés au Brésil.
- Rendez le retrait gratuit et simple, puis vérifiez que les outils s’arrêtent.
- Sources primaires
- LGPD, Lei 13.709/2018 (Planalto) ; guide de l’ANPD : Cookies e proteção de dados pessoais
- Dernière vérification
La LGPD s’applique-t-elle à votre site web ?
Exigence de la LGPD : la loi couvre les traitements effectués au Brésil, les traitements visant à proposer des biens ou des services à des personnes au Brésil ou à traiter leurs données, et les données collectées alors que la personne se trouvait au Brésil (article 3). Aucun seuil de taille ne soustrait les petits sites web à la loi.
Exigence de la LGPD : une donnée personnelle est une information relative à une personne identifiée ou identifiable (article 5). Les identifiants de cookies, les historiques de navigation et les profils publicitaires entrent dans cette définition dès qu’ils peuvent être reliés à quelqu’un, même sans nom.
Orientations de l’ANPD : le guide de l’ANPD sur les cookies souligne que les données issues des cookies peuvent identifier des personnes indirectement, par des déductions, des recoupements de données ou des profils comportementaux, que le cookie soit propriétaire (first-party) ou non.
Choisissez une base légale pour chaque finalité
Exigence de la LGPD : chaque utilisation de données personnelles nécessite une base légale prévue à l’article 7 (article 11 pour les données sensibles), comme le consentement, un contrat demandé par la personne ou l’intérêt légitime. L’intérêt légitime ne couvre que les données strictement nécessaires et cède le pas devant les droits fondamentaux de la personne (article 10).
Orientations de l’ANPD : le guide sur les cookies n’établit aucune hiérarchie entre les bases légales et adopte la position suivante sur les usages courants.
| Usage du cookie | Position de l’ANPD | Configuration pratique |
|---|---|---|
| Strictement nécessaires : connexion, panier, paiement | Position de l’ANPDLe consentement n’est pas la base appropriée ; l’intérêt légitime peut convenir. | Configuration pratiqueLaissez-les activés et expliquez-les dans le bandeau et la politique. |
| Mesure d’audience | Position de l’ANPDL’intérêt légitime peut convenir pour des données agrégées qui ne sont pas combinées avec un autre suivi ni utilisées pour établir des profils. | Configuration pratiqueDocumentez l’évaluation et proposez un moyen de s’y opposer. |
| Publicité et profilage | Position de l’ANPDL’intérêt légitime n’est presque jamais la base la plus adaptée ; le consentement l’est généralement. | Configuration pratiqueLaissez-les désactivés jusqu’à ce que le visiteur donne son accord. |
Conseil pratique : évaluez chaque outil selon ce qu’il fait, et non selon son étiquette. Un outil d’analyse qui partage des identifiants avec une plateforme publicitaire ne relève plus de la mesure à faible risque décrite par l’ANPD.
Les conditions d’un consentement valable
Exigence de la LGPD : le consentement doit être libre, éclairé, univoque et donné pour une finalité déterminée ; les autorisations génériques sont nulles (articles 5 et 8). Le responsable du traitement doit être en mesure de le prouver, et une information préalable trompeuse ou peu claire le rend nul (articles 8 et 9).
Exigence de la LGPD : les personnes peuvent révoquer leur consentement à tout moment, par une procédure gratuite et facilitée (article 8, § 5).
La conception de bandeau recommandée par l’ANPD
Orientations de l’ANPD : le guide les présente comme des bonnes pratiques, et non comme un format imposé par la loi :
- Une option visible pour refuser tous les cookies non nécessaires, au premier et au deuxième niveau. Dans les exemples de l’ANPD, un bandeau proposant uniquement « J’accepte » n’offre pas un choix libre.
- Des cookies fondés sur le consentement désactivés par défaut : pas de cases précochées ni de « poursuivre la navigation vaut accord ».
- Un deuxième niveau qui regroupe les cookies par finalité, avec un consentement par finalité.
- Un moyen direct de retirer son consentement et de s’opposer, au-delà des paramètres du navigateur.
- Des informations qui ne sont pas uniquement en langue étrangère, ni détaillées au point de submerger le visiteur.
Conseil pratique : appliquez ces points par défaut aux cookies facultatifs. Si un outil repose sur une autre base légale, consignez pourquoi et expliquez-le quand même.
Des informations en portugais que les visiteurs peuvent comprendre
Exigence de la LGPD : les informations sur la finalité, la forme et la durée du traitement, l’identité du responsable du traitement, le partage des données et les droits des personnes doivent être claires, adéquates et fournies de manière ostensible (article 9).
Orientations de l’ANPD : proposer les informations sur les cookies uniquement en langue étrangère est une pratique à éviter. Gardez le premier niveau court, avec les finalités et les durées de conservation accessibles en une seule étape.
Conseil pratique : pour les visiteurs au Brésil, affichez le bandeau et la déclaration relative aux cookies en portugais, et maintenez les traductions en phase avec les outils que vous utilisez. Dans Passiro, modifiez les textes par langue dans la section Translations.
Exemple : une boutique en ligne qui fait du remarketing
Une boutique en ligne qui vend à des clients au Brésil utilise des cookies de panier et de paiement, un outil d’analyse d’audience et un pixel publicitaire pour le remarketing. Un visiteur refuse les cookies facultatifs.
Les cookies de panier et de paiement servent à l’achat : ils restent donc activés. Un outil d’analyse limité à la mesure peut reposer sur l’intérêt légitime selon les orientations de l’ANPD, à moins qu’il n’alimente aussi des audiences publicitaires. Le pixel repose sur le consentement : il reste donc désactivé, et le visiteur est exclu des envois d’audiences.
Exigence de la LGPD : si la plateforme publicitaire reçoit les données hors du Brésil, le transfert nécessite un mécanisme prévu à l’article 33, comme des clauses contractuelles types ou un consentement spécifique et mis en évidence pour le transfert. Un cookie publicitaire accepté ne couvre pas ce transfert.
Conseil pratique : testez le refus dans une nouvelle session de navigation : aucune requête du pixel, aucun cookie publicitaire et aucun envoi de liste de clients fondé sur le consentement refusé.
Données sensibles, enfants et nouveaux outils
Exigence de la LGPD : les données sensibles, comme les données de santé ou relatives aux convictions religieuses, nécessitent un consentement spécifique et mis en évidence ou une autre base prévue à l’article 11. Les données des enfants et des adolescents doivent servir leur intérêt supérieur, et les données des enfants nécessitent généralement le consentement spécifique d’un parent ou d’un tuteur (article 14).
Conseil pratique : évaluez ces cas avant d’activer le profilage ou la publicité, et traitez chaque nouvel outil marketing comme une nouvelle évaluation. Voir Tenir le consentement à jour lors de l’ajout d’un nouvel outil de suivi.
Liste de contrôle pour votre site web
- Base légale : consignez la finalité et la base de chaque cookie et pixel.
- Première visite : vérifiez que les cookies et requêtes fondés sur le consentement restent désactivés.
- Refus et retrait : vérifiez que les balises et les envois d’audiences s’arrêtent.
- Langue : vérifiez que le bandeau en portugais correspond à la configuration en ligne.
- Fournisseurs : vérifiez le rôle de chaque destinataire et son mécanisme de transfert.
FAQ
La LGPD est-elle identique au RGPD ?
Non. Les deux textes partagent des concepts, mais les bases légales, les définitions et l’autorité de contrôle diffèrent : une politique conçue pour l’UE nécessite donc un examen propre au Brésil.
Le guide de l’ANPD sur les cookies est-il juridiquement contraignant ?
L’ANPD le présente comme un guide de bonnes pratiques susceptible d’être mis à jour. Les obligations découlent de la LGPD ; le guide montre comment l’autorité les interprète : documentez donc tout écart délibéré.
Devons-nous conserver une preuve du consentement ?
Oui, en pratique : la charge de la preuve d’un consentement valable incombe au responsable du traitement (article 8, § 2). Passiro conserve les registres de consentement pendant la durée d’historique de votre offre ; consultez les registres de consentement par offre.
Le retrait du consentement entraîne-t-il la suppression des données ?
Pas automatiquement. La révocation met fin aux traitements futurs fondés sur le consentement ; les traitements antérieurs restent valables. Les personnes peuvent demander séparément la suppression des données traitées avec leur consentement, sous réserve de l’article 16 (article 18, VI).
Quelles sanctions l’ANPD peut-elle infliger ?
L’article 52 prévoit des avertissements, des amendes pouvant atteindre 2 % du chiffre d’affaires au Brésil (plafonnées à 50 millions de R$ par infraction), des amendes journalières, la publication de l’infraction ainsi que le blocage ou la suppression des données.