Brasile
Lei Geral de Proteção de Dados Pessoais
LGPD: Scelte sui cookie e basi giuridiche per i siti che si rivolgono al Brasile
La LGPD brasiliana si applica ai dati personali raccolti tramite siti web, compresi i dati provenienti da cookie, pixel e moduli. Questa guida indica cosa richiede la legge, cosa raccomanda l’autorità per la protezione dei dati (ANPD) e cosa suggeriamo noi nella pratica.
In sintesi
- A chi può applicarsi
- Organizzazioni di qualsiasi paese che trattano dati personali in Brasile, offrono beni o servizi a persone in Brasile o trattano dati raccolti in Brasile (articolo 3).
- Che cos’è
- La legge generale brasiliana sulla protezione dei dati, Lei 13.709/2018, la cui applicazione è affidata all’ANPD. La guida ANPD sui cookie contiene indicazioni di buone prassi su come applicarla.
- Scelte da offrire
- Una base giuridica per ogni finalità. Se ti basi sul consenso, deve essere libero, informato, inequivocabile e facile da revocare. Secondo l’ANPD, per i cookie pubblicitari il consenso è la base più adatta.
- Azioni per il sito web
- Registra finalità e base giuridica di ogni cookie e pixel.
- Mantieni disattivati i cookie basati sul consenso finché il visitatore non acconsente.
- Offri un’opzione visibile per rifiutare i cookie non necessari.
- Spiega finalità e tempi di conservazione in portoghese ai visitatori in Brasile.
- Rendi la revoca gratuita e semplice, poi verifica che gli strumenti si fermino.
- Ultima revisione
La LGPD si applica al tuo sito web?
Requisito della LGPD: la legge riguarda i trattamenti effettuati in Brasile, i trattamenti finalizzati all’offerta di beni o servizi a persone in Brasile o al trattamento dei loro dati, e i dati raccolti mentre la persona si trovava in Brasile (articolo 3). Nessuna soglia dimensionale esclude i piccoli siti dall’ambito della legge.
Requisito della LGPD: per dato personale si intende un’informazione relativa a una persona identificata o identificabile (articolo 5). ID dei cookie, cronologie di navigazione e profili pubblicitari rientrano nella definizione non appena possono essere collegati a qualcuno, anche senza un nome.
Indicazioni dell’ANPD: la guida ANPD sui cookie osserva che i dati dei cookie possono identificare le persone indirettamente, tramite deduzioni, combinazioni di dati o profili comportamentali, che si tratti di cookie di prima parte o no.
Scegli una base giuridica per ogni finalità
Requisito della LGPD: ogni uso dei dati personali richiede una base giuridica prevista dall’articolo 7 (articolo 11 per i dati sensibili), come il consenso, un contratto richiesto dalla persona o il legittimo interesse. Il legittimo interesse copre solo i dati strettamente necessari e cede di fronte ai diritti fondamentali della persona (articolo 10).
Indicazioni dell’ANPD: la guida sui cookie non vede alcuna gerarchia tra le basi giuridiche e adotta questa posizione sugli usi più comuni.
| Uso dei cookie | Posizione dell’ANPD | Configurazione pratica |
|---|---|---|
| Strettamente necessari: accesso, carrello, pagamento | Posizione dell’ANPDIl consenso non è la base appropriata; il legittimo interesse può essere adatto. | Configurazione praticaMantienili attivi e spiegali nel banner e nell’informativa. |
| Misurazione dell’audience | Posizione dell’ANPDIl legittimo interesse può essere adatto per dati aggregati non combinati con altri tracciamenti né usati per creare profili. | Configurazione praticaDocumenta la valutazione e offri un modo per opporsi. |
| Pubblicità e profilazione | Posizione dell’ANPDIl legittimo interesse non è quasi mai la base più adatta; in genere lo è il consenso. | Configurazione praticaMantienili disattivati finché il visitatore non acconsente. |
Consiglio pratico: valuta ogni strumento in base a ciò che fa, non alla sua etichetta. Uno strumento di analisi che condivide identificatori con una piattaforma pubblicitaria non è più la misurazione a basso rischio descritta dall’ANPD.
Cosa richiede un consenso valido
Requisito della LGPD: il consenso deve essere libero, informato, inequivocabile e prestato per una finalità specifica; le autorizzazioni generiche sono nulle (articoli 5 e 8). Il titolare del trattamento deve essere in grado di dimostrarlo, e informazioni preliminari ingannevoli o poco chiare lo rendono nullo (articoli 8 e 9).
Requisito della LGPD: le persone possono revocare il consenso in qualsiasi momento tramite una procedura gratuita e agevolata (articolo 8, §5).
Il design del banner raccomandato dall’ANPD
Indicazioni dell’ANPD: la guida presenta questi punti come buone prassi, non come un formato fissato per legge:
- Un’opzione visibile per rifiutare tutti i cookie non necessari sul primo e sul secondo livello. Negli esempi dell’ANPD, un banner con il solo pulsante “Accetto” non offre una scelta libera.
- Cookie basati sul consenso disattivati per impostazione predefinita: niente caselle preselezionate e niente “continuare a navigare equivale a un sì”.
- Un secondo livello che raggruppa i cookie per finalità, con un consenso per ciascuna finalità.
- Un modo diretto per revocare il consenso e opporsi, oltre alle impostazioni del browser.
- Informazioni non solo in una lingua straniera e non così dettagliate da sopraffare chi legge.
Consiglio pratico: usa questi punti come impostazione predefinita per i cookie facoltativi. Se uno strumento si basa su un’altra base giuridica, documenta il motivo e spiegalo comunque.
Informazioni in portoghese comprensibili per i visitatori
Requisito della LGPD: le informazioni su finalità, modalità e durata del trattamento, identità del titolare del trattamento, condivisione dei dati e diritti delle persone devono essere chiare, adeguate e ben visibili (articolo 9).
Indicazioni dell’ANPD: offrire informazioni sui cookie solo in una lingua straniera è una pratica da evitare. Mantieni breve il primo livello, con finalità e tempi di conservazione a un passo di distanza.
Consiglio pratico: per i visitatori in Brasile, mostra il banner e la dichiarazione sui cookie in portoghese e mantieni le traduzioni allineate agli strumenti che usi. In Passiro, modifica i testi per ogni lingua in Translations.
Esempio: un negozio online con remarketing
Un negozio online che vende a clienti in Brasile usa cookie per il carrello e il checkout, uno strumento di analisi e un pixel pubblicitario per il remarketing. Un visitatore rifiuta i cookie facoltativi.
I cookie del carrello e del checkout servono all’acquisto, quindi restano attivi. Un’analisi limitata alla misurazione può basarsi sul legittimo interesse secondo le indicazioni dell’ANPD, a meno che non alimenti anche segmenti di pubblico pubblicitari. Il pixel si basa sul consenso, quindi resta disattivato e il visitatore viene escluso dai caricamenti dei segmenti di pubblico.
Requisito della LGPD: se la piattaforma pubblicitaria riceve i dati fuori dal Brasile, il trasferimento richiede uno strumento previsto dall’articolo 33, come le clausole contrattuali standard o un consenso specifico ed evidenziato al trasferimento. Un cookie pubblicitario accettato non copre questo aspetto.
Consiglio pratico: testa il rifiuto in una nuova sessione del browser: nessuna richiesta del pixel, nessun cookie pubblicitario e nessun caricamento della lista clienti basato sul consenso rifiutato.
Dati sensibili, minori e nuovi strumenti
Requisito della LGPD: i dati sensibili, come quelli relativi alla salute o alla religione, richiedono un consenso specifico ed evidenziato o un’altra base prevista dall’articolo 11. I dati di bambini e adolescenti devono essere trattati nel loro superiore interesse, e i dati dei bambini richiedono in genere il consenso specifico di un genitore o tutore (articolo 14).
Consiglio pratico: valuta questi casi prima di attivare profilazione o pubblicità, e considera ogni nuovo strumento di marketing come una nuova valutazione. Consulta Mantenere aggiornato il consenso quando aggiungi un nuovo strumento di tracciamento.
Checklist per il sito web
- Base giuridica: registra finalità e base giuridica di ogni cookie e pixel.
- Prima visita: conferma che i cookie e le richieste basati sul consenso restano disattivati.
- Rifiuto e revoca: conferma che i tag e i caricamenti dei segmenti di pubblico si interrompono.
- Lingua: verifica che il banner in portoghese corrisponda alla configurazione attiva.
- Fornitori: conferma il ruolo di ogni destinatario e lo strumento per il trasferimento.
Domande frequenti
La LGPD è uguale al GDPR?
No. Condividono alcuni concetti, ma basi giuridiche, definizioni e autorità di controllo sono diverse, quindi un’informativa pensata per l’UE va rivista in modo specifico per il Brasile.
La guida ANPD sui cookie è giuridicamente vincolante?
L’ANPD la definisce una guida di buone prassi che può essere aggiornata. Gli obblighi derivano dalla LGPD; la guida mostra come l’autorità li interpreta, quindi documenta ogni scostamento deliberato.
Dobbiamo conservare la prova del consenso?
Sì, nella pratica: l’onere di dimostrare un consenso valido spetta al titolare del trattamento (articolo 8, §2). Passiro conserva le registrazioni del consenso per il periodo di cronologia previsto dal tuo piano; consulta le registrazioni del consenso per piano.
La revoca del consenso cancella i dati?
Non automaticamente. La revoca interrompe i futuri trattamenti basati sul consenso; i trattamenti precedenti restano validi. Le persone possono chiedere separatamente la cancellazione dei dati trattati sulla base del consenso, fatto salvo l’articolo 16 (articolo 18, VI).
Quali sanzioni può imporre l’ANPD?
L’articolo 52 prevede avvertimenti, multe fino al 2% del fatturato in Brasile (con un tetto di 50 milioni di R$ per violazione), sanzioni giornaliere, pubblicazione della violazione e blocco o cancellazione dei dati.