Saltar al contenido
AI Policy Generator

ENQué me toca

Brasil · Ley

Ley General de Protección de Datos Personales de Brasil (LGPD)

VigenteLGPD

Resumen

Es la ley de datos más madura de la región. Exige base legal, transparencia, registro de operaciones, encargado de datos y seguridad. Su art. 20 da derecho a pedir la revisión de decisiones tomadas solo por medios automatizados y a conocer sus criterios. La ANPD puede exigir un informe de impacto y prioriza la IA en su fiscalización 2026-2027. Los documentos que se presenten ante la ANPD u otros reguladores brasileños deben estar en portugués.

A quién se dirige

Toda organización que trate datos personales en Brasil, de personas en Brasil o para ofrecer bienes o servicios en Brasil.

Sanciones

Advertencia; multa de hasta el 2 % de la facturación en Brasil, con tope de R$ 50 millones por infracción; multa diaria; publicidad de la infracción; bloqueo o eliminación de datos y suspensión de actividades (art. 52; dosimetría en la Res. CD/ANPD 4/2023).

Nombre oficial
Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD)
Referencia oficial
Lei nº 13.709/2018, DOU 15-ago-2018; vigente desde el 18-sep-2020; sanciones administrativas aplicables desde el 1-ago-2021
Autoridad
Autoridad Nacional de Protección de Datos (ANPD)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Base legal y transparencia sobre el tratamiento con IALGPD, arts. 7, 9, 10 y 11VigenteYa aplicableSi trata datos personales de personas en Brasil, también en sistemas de IA.Verificado en fuente oficial el 4 de noviembre de 2026
Registro de las operaciones de tratamientoLGPD, art. 37VigenteYa aplicableSi trata datos personales; los agentes de pequeño porte pueden llevar un registro simplificado (Res. CD/ANPD 2/2022).Verificado en fuente oficial el 4 de noviembre de 2026
Revisión de decisiones automatizadas (art. 20)LGPD, art. 20VigenteYa aplicableSi toma decisiones basadas solo en tratamiento automatizado que afectan los intereses de las personas, incluido el perfilado (crédito, empleo, seguros, consumo). El apoyo clínico en el que el médico toma la decisión final no es, en principio, una decisión solo automatizada.Verificado en fuente oficial el 4 de noviembre de 2026
Informe de impacto a la protección de datos (RIPD)LGPD, arts. 10 §3 y 38VigenteYa aplicableSi hace tratamientos de alto riesgo: decisiones automatizadas, biometría, datos sensibles o de menores, monitoreo o entrenamiento de modelos.Verificado en fuente oficial el 4 de noviembre de 2026
Derechos de los titularesLGPD, art. 18VigenteYa aplicableSi trata datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Medidas de seguridadLGPD, art. 46VigenteYa aplicableSi trata datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Datos de niños y adolescentesLGPD, art. 14VigenteYa aplicableSi trata datos de niños o adolescentes o sus usuarios pueden serlo.Verificado en fuente oficial el 4 de noviembre de 2026

Base legal y transparencia sobre el tratamiento con IA

LGPD, arts. 7, 9, 10 y 11Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales de personas en Brasil, también en sistemas de IA.
Qué prevé la norma
  • Elegir y documentar la base legal de cada tratamiento; si es el interés legítimo, hacer y conservar la ponderación.
  • Usar solo las bases del art. 11 para datos sensibles.
  • Informar de forma clara la finalidad, la forma y la duración del tratamiento, incluidos los usos con IA.
Evidencias habituales
  • Política de privacidad publicada.
  • Evaluaciones de interés legítimo.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), arts. 7, 9, 10 y 11. Planalto no respondió en esta revisión.

Registro de las operaciones de tratamiento

LGPD, art. 37Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales; los agentes de pequeño porte pueden llevar un registro simplificado (Res. CD/ANPD 2/2022).
Qué prevé la norma
  • Registrar las operaciones de tratamiento, incluidas las de cada sistema de IA, con finalidad, datos, base legal y destinatarios.
Evidencias habituales
  • Registro actualizado.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), art. 37. Planalto no respondió en esta revisión.

Revisión de decisiones automatizadas (art. 20)

LGPD, art. 20Vigente

Ya aplicable

Cuándo se relaciona
Si toma decisiones basadas solo en tratamiento automatizado que afectan los intereses de las personas, incluido el perfilado (crédito, empleo, seguros, consumo). El apoyo clínico en el que el médico toma la decisión final no es, en principio, una decisión solo automatizada.
Qué prevé la norma
  • Atender las solicitudes de revisión de estas decisiones.
  • Dar información clara sobre los criterios y procedimientos usados, respetando el secreto comercial.
  • Si se niega la información, la ANPD puede auditar el sistema por posible discriminación.
  • Prever revisión humana en decisiones de alto impacto; la ANPD estudia reglamentar este derecho (tomada de subsídios y Nota Técnica 12/2025).
Evidencias habituales
  • Procedimiento de revisión y registro de solicitudes.
  • Explicaciones entregadas.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), art. 20, caput y §§ 1 y 2 (auditoría de la ANPD si se niega la información por secreto comercial). La posible reglamentación de la revisión humana procede de documentos de consulta de la ANPD. Planalto no respondió en esta revisión.

Informe de impacto a la protección de datos (RIPD)

LGPD, arts. 10 §3 y 38Vigente

Ya aplicable

Cuándo se relaciona
Si hace tratamientos de alto riesgo: decisiones automatizadas, biometría, datos sensibles o de menores, monitoreo o entrenamiento de modelos.
Qué prevé la norma
  • Tener preparado el RIPD para entregarlo cuando la ANPD lo pida.
  • Seguir las orientaciones de la ANPD (2023), que incluyen las decisiones solo automatizadas entre los criterios de alto riesgo; el reglamento específico sigue pendiente.
Evidencias habituales
  • RIPD fechado por sistema.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), arts. 10 § 3 y 38 (la ANPD puede pedir el RIPD). Que el reglamento específico del RIPD siga pendiente consta en la agenda de la ANPD y en fuentes secundarias (Mattos Filho, Confidata). Planalto no respondió en esta revisión.

Derechos de los titulares

LGPD, art. 18Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales.
Qué prevé la norma
  • Atender confirmación, acceso, corrección, anonimización, portabilidad, eliminación, información sobre compartición y revocación del consentimiento.
Evidencias habituales
  • Registro de solicitudes.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), art. 18. Planalto no respondió en esta revisión.

Medidas de seguridad

LGPD, art. 46Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales.
Qué prevé la norma
  • Adoptar medidas técnicas y administrativas para proteger los datos desde el diseño, incluidos los que se envían a herramientas de IA.
Evidencias habituales
  • Política de seguridad.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), art. 46 y § 2 (medidas "desde a fase de concepção"). Planalto no respondió en esta revisión.

Datos de niños y adolescentes

LGPD, art. 14Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos de niños o adolescentes o sus usuarios pueden serlo.
Qué prevé la norma
  • Tratar los datos en el mejor interés del menor y, para niños, con consentimiento específico de uno de los padres o responsables, salvo excepciones.
Evidencias habituales
  • Mecanismo de consentimiento parental.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto actualizado de la Ley 13.709/2018 publicado por la Cámara de Diputados (Legislação Informatizada), art. 14, caput y § 1. Planalto no respondió en esta revisión.

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)