En resumen: la LGPD exige que toda web cuyas cookies recojan datos personales se apoye en una base legal, lo que en la práctica significa un consentimiento previo para las cookies publicitarias y demás cookies no necesarias, con una opción clara para rechazarlas. Se aplica a cualquier organización, brasileña o extranjera, que ofrezca bienes o servicios a personas en Brasil o trate datos recogidos allí, lo que incluye a muchas empresas españolas y latinoamericanas. La ANPD puede imponer multas de hasta el 2 % de la facturación en Brasil (con un tope de 50 millones de reales por infracción), publicar la infracción y ordenar el bloqueo o la supresión de datos.
LGPD: ¿de qué se trata?
La Lei Geral de Proteção de Dados Pessoais (LGPD) es la ley general de protección de datos de Brasil, la Ley n.º 13.709, de 14 de agosto de 2018. Regula todo tratamiento de datos personales, en línea o no, por personas físicas y por organizaciones públicas y privadas, con el objetivo declarado de proteger la libertad, la intimidad y el libre desarrollo de la personalidad.
La ley entró en vigor por etapas. Según su artículo 65, las disposiciones que crean la autoridad nacional se aplicaron desde el 28 de diciembre de 2018, los artículos sobre sanciones (52 a 54) desde el 1 de agosto de 2021 y el resto de la ley 24 meses después de su publicación, en 2020. Desde 2021, la autoridad puede multar a las empresas que la incumplen.
La LGPD se describe a menudo como el «RGPD brasileño», y el parecido es real: definiciones similares, una lista cerrada de bases legales, derechos de los titulares y un delegado de protección de datos (el «encarregado»). Pero hay una gran diferencia para las cookies. Brasil no tiene un equivalente de la Directiva ePrivacy ni del artículo 22.2 de la LSSI, de modo que no existe una regla de «consentimiento para cada cookie no esencial». Las cookies se rigen por las reglas generales de la LGPD cuando recogen datos personales, y la autoridad ha explicado cómo se aplican en una guía específica sobre cookies publicada en octubre de 2022.
Ámbito territorial. El artículo 3 aplica la ley a cualquier tratamiento, con independencia del país donde esté la organización o se almacenen los datos, siempre que se cumpla una de tres condiciones: el tratamiento se realiza en Brasil, tiene por objeto ofrecer bienes o servicios a personas situadas en Brasil (o trata sus datos), o los datos se recogieron en Brasil. Se consideran recogidos en Brasil cuando la persona estaba en el país en el momento de la recogida.
¿A quién se aplica?
La LGPD se aplica a los responsables (quienes deciden sobre el tratamiento) y a los encargados (quienes tratan datos por cuenta de un responsable). En una web, el responsable suele ser la empresa titular, mientras que los proveedores de analítica, publicidad y alojamiento actúan como encargados o como responsables independientes según el uso que hagan de los datos.
En la práctica, usted está afectado si:
- su empresa está establecida en Brasil y gestiona una web o una app;
- está en el extranjero, pero vende a clientes en Brasil, tiene una web en portugués de Brasil, envía a Brasil o dirige publicidad a usuarios brasileños;
- su web recoge datos (incluidos identificadores de cookies y direcciones IP) de visitantes que navegan desde Brasil.
El artículo 4 excluye algunos tratamientos, por ejemplo los realizados por una persona física con fines exclusivamente particulares, o con fines exclusivamente periodísticos, artísticos o de seguridad pública. Una web comercial no encaja en esas excepciones. La noción clave es la de dato personal: según el artículo 5, toda información relacionada con una persona física identificada o identificable. Los identificadores de cookies, los identificadores de dispositivo y los historiales vinculados a un usuario suelen entrar en esa categoría.
Lo que exige la LGPD para las cookies y el consentimiento
Una base legal para cada cookie que toca datos personales
El artículo 7 enumera diez bases legales, entre ellas el consentimiento, el cumplimiento de una obligación legal, la ejecución de un contrato y el interés legítimo. La LGPD no las jerarquiza, y la guía de la ANPD lo confirma. Lo importante es elegir la adecuada para cada finalidad:
- Cookies estrictamente necesarias (inicio de sesión, carrito, seguridad, equilibrio de carga): la ANPD considera inadecuado el consentimiento, porque el usuario no tiene una elección real. El interés legítimo (artículo 10) suele ser la base apropiada.
- Cookies de medición de audiencia: el interés legítimo puede ser aceptable en ciertos contextos, cuando la medición se limita a identificar patrones y tendencias con datos agregados, sin combinarlos con otro seguimiento ni crear perfiles.
- Cookies publicitarias, en especial las de terceros usadas para perfilar o seguir a los usuarios entre sitios: según la ANPD, el interés legítimo difícilmente será adecuado, y el consentimiento es la base más idónea.
Por eso la LGPD se describe mejor como un modelo mixto: consentimiento previo para las cookies no necesarias, pero sin una obligación general de consentimiento para todas.
Qué es un consentimiento válido
El artículo 5 define el consentimiento como la manifestación libre, informada e inequívoca por la que el titular acepta el tratamiento para una finalidad determinada. La guía de la ANPD lo concreta:
- Libre: el visitante debe poder aceptar o rechazar sin consecuencias negativas. Un consentimiento «forzado», en el que usar la web depende de aceptar todas las cookies, no es compatible con la LGPD.
- Informado: antes de decidir, el usuario debe recibir información clara, precisa y accesible sobre las finalidades, la forma del tratamiento y su duración (artículo 9). Si la información era engañosa o abusiva, el consentimiento es nulo.
- Inequívoco: hace falta una acción clara y positiva. Las opciones premarcadas y el «consentimiento por seguir navegando» son incompatibles con la ley.
- Específico: según el artículo 8, el consentimiento debe referirse a finalidades determinadas, y las autorizaciones genéricas son nulas.
Conservación, retirada y prueba
Conservación. La LGPD no fija una vida útil para las cookies. La ANPD exige que el plazo sea compatible con la finalidad y se limite a lo estrictamente necesario.
Retirada. Según el artículo 8.5, el consentimiento puede revocarse en cualquier momento, por manifestación expresa, mediante un procedimiento gratuito y sencillo. La ANPD añade que retirarlo debe ser tan fácil como darlo.
Prueba. El artículo 8.2 atribuye la carga de la prueba al responsable. La ANPD recomienda registrar y documentar todos los elementos que demuestren la validez del consentimiento. Un registro con fecha, versión del banner y elecciones es la forma más sencilla.
El banner de cookies conforme a la LGPD
Las recomendaciones de la ANPD son muy parecidas a lo que esperan las autoridades europeas como la AEPD, de modo que un buen banner conforme al RGPD es un punto de partida sólido. Nuestra guía del banner de cookies cubre los detalles de diseño.
En la primera capa, el banner debe mostrar un botón fácil de ver para rechazar todas las cookies no necesarias, junto al botón de aceptar y una opción de gestión, y un enlace accesible donde el usuario pueda ejercer sus derechos, saber cómo se usan sus datos y durante cuánto tiempo, y retirar el consentimiento.
En la segunda capa, debe agrupar las cookies por categorías con finalidades descritas en términos sencillos, permitir el consentimiento por categoría, mantener las cookies basadas en el consentimiento desactivadas por defecto y explicar cómo bloquear cookies desde el navegador.
Prácticas que deben evitarse, según la ANPD:
- un único botón en la primera capa («Estoy de acuerdo», «Acepto», «Entendido») sin forma de gestionar las opciones;
- botones de rechazo o configuración difíciles de ver o de entender, destacando solo el de aceptar;
- hacer imposible o difícil rechazar todas las cookies no necesarias;
- cookies no necesarias activadas por defecto;
- no ofrecer segunda capa ni una vía directa y sencilla para retirar el consentimiento;
- una política de cookies disponible solo en un idioma extranjero, algo importante para las webs dirigidas a Brasil;
- una lista de cookies demasiado detallada que abruma al usuario.
Varias de estas prácticas son los mismos dark patterns que han sancionado las autoridades europeas, como explica nuestro artículo sobre dark patterns en los banners.
Sanciones y controles
La LGPD la aplica la ANPD (Agência Nacional de Proteção de Dados). Recibe reclamaciones, realiza actuaciones de supervisión e inicia procedimientos sancionadores. El artículo 52 prevé: advertencia con plazo para corregir, multa simple de hasta el 2 % de la facturación en Brasil del último ejercicio, sin impuestos, con un tope de 50 millones de reales por infracción, multa diaria dentro del mismo límite, publicación de la infracción, bloqueo o supresión de los datos, suspensión del tratamiento hasta seis meses (prorrogable una vez) y prohibición parcial o total del tratamiento. La ANPD indica en su página de fiscalización que, hasta ahora, todos los procedimientos sancionadores que ha abierto se debieron a una actitud no cooperativa de la organización.
Casos reales publicados por la ANPD:
- Telekall Infoservice (2023), la primera multa de la LGPD. Tras una denuncia de que la empresa ofrecía listas de contactos de WhatsApp de votantes para campañas electorales, la ANPD emitió una advertencia por no haber designado delegado e impuso dos multas de 7.200 reales cada una: por tratar datos sin base legal (artículo 7) y por no responder a la autoridad, en total 14.400 reales. (comunicado de la ANPD)
- INSS, el instituto nacional de la seguridad social (2024). En una decisión publicada el 1 de febrero de 2024, la ANPD sancionó al INSS con la publicación de la infracción por no notificar a los afectados un incidente de seguridad de 2022 (artículo 48). El INSS tuvo que mostrar un aviso en su página de inicio y en su app durante 60 días. (expediente de la ANPD)
- RaiaDrogasil (en curso). La ANPD tramita un procedimiento sancionador contra la cadena de farmacias por una supuesta elaboración de perfiles con datos sensibles, sin base legal adecuada, para ofrecer publicidad dirigida a cambio de pago. Aún no hay decisión publicada. (página de fiscalización de la ANPD)
Checklist de cumplimiento
- Mapee sus cookies y rastreadores, con su finalidad, proveedor y duración.
- Asigne una base legal a cada finalidad: interés legítimo para las necesarias, consentimiento para la publicidad y una ponderación documentada si usa el interés legítimo para la analítica.
- Bloquee los scripts no necesarios hasta el consentimiento, desactivados por defecto.
- Muestre una primera capa con aceptar, rechazar y gestionar, con una visibilidad comparable.
- Ofrezca una segunda capa con categorías, finalidades, plazos y elección por categoría.
- Publique una política de cookies en portugués si se dirige a Brasil.
- Haga la retirada tan fácil como el consentimiento, con un enlace permanente.
- Conserve la prueba del consentimiento (fecha, elecciones, versión del banner).
- Acorte las duraciones excesivas de las cookies y revíselas al menos una vez al año.
- Designe un delegado (encarregado) y publique sus datos de contacto, como exige el artículo 41.
Cómo le ayuda FlowConsent a cumplir la LGPD
FlowConsent le ofrece un banner que sigue las recomendaciones de la ANPD: aceptar, rechazar y configurar en la primera capa, categorías en la segunda y cookies no necesarias desactivadas por defecto. Los scripts se bloquean antes del consentimiento, de modo que las etiquetas publicitarias solo se activan tras el opt-in, y Google Consent Mode v2 está integrado. El escaneo automático detecta las cookies de su web para que asigne a cada una su categoría, y la verificación de conformidad le muestra si todo se bloquea correctamente. Cada elección queda registrada como prueba exportable. La instalación lleva unos diez minutos, el alojamiento es europeo y es gratuito hasta 25.000 sesiones al mes. Empiece con nuestro escáner gratuito y cree su cuenta.
Para saber más
Si su web atiende varios mercados, nuestra comparativa sobre las cookies fuera de Europa compara la LGPD con la POPIA sudafricana y la PDPA de Singapur. Los demás artículos profundizan en el diseño del banner, las categorías de cookies, la prueba del consentimiento, la medición sin cookies y la elección de una plataforma de gestión del consentimiento.