En bref : la LGPD n'a pas de règle cookies spécifique, mais ses bases légales s'appliquent à tout cookie qui collecte des données personnelles : consentement pour les cookies non nécessaires, intérêt légitime possible pour les cookies strictement nécessaires. Elle concerne toute entreprise qui vise des personnes situées au Brésil, même sans présence locale. L'ANPD peut infliger des amendes jusqu'à 2 % du chiffre d'affaires réalisé au Brésil, dans la limite de 50 millions de reais par infraction.
LGPD : de quoi parle-t-on ?
La Lei Geral de Proteção de Dados Pessoais (LGPD) est la loi nº 13.709 du 14 août 2018. Inspirée du RGPD européen, elle encadre tout traitement de données personnelles, en ligne comme hors ligne. Son entrée en vigueur a été échelonnée par plusieurs modifications :
- les dispositions créant l'ANPD sont entrées en vigueur le 28 décembre 2018 ;
- la plupart des autres articles s'appliquent depuis 2020, vingt-quatre mois après la publication de la loi ;
- les sanctions administratives (articles 52 à 54) ne sont applicables que depuis le 1er août 2021.
Son champ territorial est défini à l'article 3. La LGPD s'applique à tout traitement, indépendamment du pays du siège de l'entreprise ou du pays où se trouvent les données, dès lors que :
- le traitement est réalisé sur le territoire brésilien ;
- ou il a pour objet l'offre ou la fourniture de biens ou de services à des personnes situées au Brésil, ou le traitement de données de personnes qui s'y trouvent ;
- ou les données ont été collectées au Brésil.
La loi précise que sont considérées comme collectées sur le territoire national les données d'une personne qui s'y trouve au moment de la collecte. Un touriste ou un expatrié qui consulte votre site depuis São Paulo entre donc dans le champ de la LGPD, quelle que soit sa nationalité.
Contrairement à l'Union européenne, le Brésil n'a pas de texte équivalent à la directive ePrivacy. La règle cookies découle donc de la LGPD elle-même, éclairée par le guide d'orientation de l'ANPD sur les cookies, publié en octobre 2022 (version 1.0).
Qui est concerné ?
- Les entreprises brésiliennes qui exploitent un site ou une application ;
- les entreprises étrangères, y compris françaises, qui vendent au Brésil ou ciblent des internautes brésiliens ;
- les éditeurs de contenus dont l'audience brésilienne est significative et qui monétisent par la publicité ;
- les organismes publics, également soumis à la loi et déjà visés par des procédures de l'ANPD.
Notre article sur la gestion des cookies hors Europe met la LGPD en perspective avec d'autres lois.
Ce que la LGPD impose pour les cookies et le consentement
Choisir la bonne base légale
L'article 7 de la LGPD énumère les hypothèses dans lesquelles un traitement est permis, dont le consentement et l'intérêt légitime. Le guide de l'ANPD distingue :
- les cookies nécessaires, indispensables au fonctionnement du site ou au service demandé. Pour eux, l'ANPD estime que le consentement n'est pas approprié, car la personne n'a pas de vrai choix ; l'intérêt légitime peut alors être la base adaptée ;
- les cookies non nécessaires, dont la désactivation n'empêche pas le fonctionnement du site : ceux qui servent à suivre le comportement, à mesurer la performance, à afficher des publicités ou des contenus intégrés. C'est pour eux que le consentement est en principe attendu.
L'intérêt légitime suppose que les attentes légitimes de la personne soient respectées, et elle garde le droit de s'opposer au traitement. D'où notre classement « mixte ».
Les conditions du consentement
L'article 8 de la LGPD fixe les règles :
- le consentement doit être donné par écrit ou par tout autre moyen qui démontre la volonté de la personne ;
- il doit porter sur des finalités déterminées : les autorisations génériques sont nulles ;
- le traitement est interdit en cas de vice du consentement ;
- il peut être révoqué à tout moment, par une procédure gratuite et facilitée.
La preuve
L'article 8, paragraphe 2, est clair : la charge de la preuve que le consentement a été obtenu conformément à la loi incombe au responsable du traitement. Un registre horodaté des choix, rattaché à la version du bandeau, est donc indispensable.
Information et droits des personnes
Le guide de l'ANPD insiste sur la transparence. Au second niveau du bandeau, l'internaute doit trouver, pour chaque catégorie de cookies, une description simple, claire et précise des finalités, ainsi que la durée de conservation. Le guide recommande aussi d'expliquer comment bloquer les cookies via les paramètres du navigateur, sans que cette possibilité remplace le mécanisme de choix du site.
Surtout, un lien facile d'accès doit permettre à la personne d'exercer ses droits : en savoir plus sur l'utilisation de ses données et leur durée de conservation, demander leur suppression, s'opposer au traitement ou révoquer son consentement. Le guide déconseille de renvoyer uniquement vers les réglages du navigateur pour la révocation et l'opposition : le site doit proposer son propre mécanisme, direct et simplifié.
Le bandeau de cookies conforme à la LGPD
Le guide de l'ANPD contient une partie entière consacrée aux bannières. Il recommande notamment :
- un bouton pour rejeter tous les cookies non nécessaires, facile à voir, aux premier et second niveaux ;
- un lien facile d'accès pour exercer ses droits, dont la révocation du consentement et l'opposition ;
- au second niveau, un classement des cookies par catégories, avec une description claire des finalités et un consentement par finalité ;
- des cookies fondés sur le consentement désactivés par défaut.
Le guide liste aussi les pratiques à éviter :
- un bouton unique (« j'accepte », « ciente ») sans option de gestion ;
- des boutons de refus ou de paramétrage moins visibles que le bouton d'acceptation ;
- des cookies non nécessaires activés par défaut ;
- l'absence de second niveau ;
- une politique de cookies uniquement en langue étrangère ;
- une liste de cookies si détaillée qu'elle provoque un effet de fatigue.
Ce dernier point rejoint le phénomène décrit dans notre article sur la consent fatigue. Pour un site qui vise le Brésil, prévoyez un bandeau et une politique de cookies en portugais. Nos exemples de bandeaux et le guide du bandeau cookies conforme s'appliquent largement au contexte brésilien.
Sanctions et contrôles
L'autorité : l'ANPD (Autoridade Nacional de Proteção de Dados) contrôle l'application de la LGPD, publie des orientations et conduit les procédures de sanction.
Le plafond : l'article 52 prévoit une gamme de sanctions administratives :
- un avertissement assorti d'un délai pour se mettre en conformité ;
- une amende simple pouvant atteindre 2 % du chiffre d'affaires de la personne morale, du groupe ou du conglomérat au Brésil lors du dernier exercice, hors taxes, plafonnée à 50 000 000 R$ par infraction ;
- une amende journalière, dans la même limite ;
- la publicité de l'infraction ;
- le blocage ou l'effacement des données concernées.
Ce que montrent les procédures de l'ANPD :
- Telekall Infoservice : c'est la première procédure de sanction de l'ANPD, conduite sous le numéro 00261.000489/2022-62 et aujourd'hui close, comme l'indique la page des décisions publiée par l'autorité.
- Ministère de la Santé : la même page recense des procédures visant des entités publiques, dont le Ministério da Saúde (procédure nº 00261.000456/2022-12, close), ce qui montre que la loi s'applique aussi au secteur public.
- Bytedance Brasil Tecnologia : la société Bytedance Brasil Tecnologia Ltda fait l'objet d'une procédure de sanction (nº 00261.006648/2024-02), indiquée comme en cours en 2026.
À ce jour, nous n'avons pas identifié dans les publications officielles de l'ANPD de sanction portant spécifiquement sur un bandeau cookies : le guide de 2022 reste la référence pour anticiper ses attentes.
Checklist de conformité
- Vérifiez l'exposition au Brésil : ventes, audience, ciblage publicitaire.
- Classez vos cookies en nécessaires et non nécessaires, selon la grille de l'ANPD.
- Documentez la base légale de chaque catégorie (consentement ou intérêt légitime).
- Désactivez par défaut les cookies fondés sur le consentement.
- Ajoutez un bouton « Rejeitar » visible aux premier et second niveaux.
- Proposez un second niveau par catégorie et par finalité.
- Traduisez bandeau et politique en portugais.
- Permettez la révocation gratuite et simple à tout moment.
- Conservez la preuve du consentement, dont vous portez la charge.
Comment FlowConsent vous aide à respecter la LGPD
FlowConsent affiche un bandeau à deux niveaux avec Accepter, Refuser et Paramétrer au même niveau, bloque les cookies non nécessaires tant que le visiteur ne les a pas activés et enregistre chaque choix dans une preuve de consentement exportable, utile puisque la charge de la preuve vous incombe (voir le rapport de preuve). Le scan automatique classe vos traceurs, et la documentation sur les services et bases légales vous aide à distinguer consentement et intérêt légitime.
Testez votre site avec notre scanner gratuit, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, installation en une dizaine de minutes.
Pour aller plus loin
La LGPD rapproche le Brésil des standards européens, avec ses propres nuances sur les bases légales. Les articles suivants comparent les grandes lois hors Europe, montrent des exemples concrets de bandeaux et expliquent le rôle d'une CMP dans un dispositif multi-pays.