LGPD · LEY BRASILEÑA DE PROTECCIÓN DE DATOS
El diagnóstico inicial es la parte fácil, y es donde la mayoría de los proyectos empieza y acaba. Lo que decide si tu empresa puede responderle a un cliente o a la autoridad dos años después es quién mantiene el inventario actualizado, quién revisa las bases legales cuando el negocio cambia y quién responde al titular dentro del plazo. De eso trata esta página.
La LGPD es una ley, y su interpretación es trabajo jurídico. DM11 conduce la adecuación con un especialista en derecho digital junto al especialista en gestión, porque separar esas dos cosas es lo que produce un proyecto vistoso que no se sostiene en una fiscalización. Cuando el objetivo también incluye un documento emitido por un tercero, la página de la ISO 27701 explica ese camino.
Quién conduce la adecuación
Especialistas en protección de datos certificados por EXIN (DPO, PDPP y PDPF)
Consultoría jurídica en privacidad y derecho digital
ISO/IEC 27001 Lead Auditor certificado por BSI
17 años de gobernanza, riesgos y cumplimiento
QUÉ EXIGE LA LEY
La Ley 13.709/2018 alcanza a cualquier empresa que trate datos personales en Brasil, y trata datos personales quien tiene empleados, clientes o proveedores personas físicas. No lista tecnología ni controles: lista principios, derechos del titular y responsabilidades. En la práctica eso significa que la empresa elige cómo cumplir, y necesita poder demostrar qué eligió, cuándo lo decidió y por qué.
No existe facturación mínima ni número de empleados por debajo del cual la ley deje de alcanzarte. Lo que existe es un régimen simplificado de la autoridad brasileña de protección de datos para agentes de tratamiento de pequeño porte, que reduce formalidad en algunas obligaciones sin quitar ninguna. Una empresa pequeña tiene menos papel que producir, no menos deber.
El error más común y más caro es tratar el consentimiento como opción por defecto. La ley trae diez bases legales, y el consentimiento es una de ellas, casi siempre la más frágil para un proceso de negocio, porque puede retirarse en cualquier momento y derriba el tratamiento con él. Elegir la base correcta por tratamiento es la decisión que más cambia el proyecto, y es una decisión jurídica.
La ley exige designar un encargado del tratamiento de datos personales y divulgar públicamente su identidad y contacto. Puede ser alguien interno, con el rol formalizado, o un servicio externo. Lo que no funciona es un nombre en el pie del sitio sin proceso detrás, porque el titular escribe y el reloj empieza a correr.
Conviene alinearlo temprano, porque cambia lo que la empresa debe producir. La ley en sí no es certificable, y lo que demuestra cumplimiento es evidencia fechada: inventario de tratamientos, base legal registrada, informe de impacto donde la ley lo pide, registro de solicitudes de titulares atendidas y prueba de que la gobernanza funciona. Cuando el cliente quiere un documento emitido por un tercero, y el cliente europeo suele quererlo, el camino es la ISO 27701, y el material construido aquí entra entero en ese proyecto.
QUIÉN SUELE BUSCARNOS
Rara vez la LGPD entra en la agenda por convicción. Entra porque alguien de afuera preguntó, o porque algo pasó.
Un cliente grande, un banco, una aseguradora o una empresa extranjera envió un formulario con decenas de preguntas y plazo corto. Responderlo sin base produce dos malos resultados: una respuesta optimista que no se sostiene en la próxima auditoría, y una respuesta ausente que traba el contrato.
Una filtración, ransomware o un correo que salió a la lista equivocada. La pregunta que aparece de inmediato es si hay que comunicar a la autoridad y a los titulares, y esa decisión es pésima de tomar a las apuradas, sin inventario y sin plan definido antes.
Venta de la empresa, ronda de inversión o entrada de un socio. La privacidad se volvió ítem de checklist en due diligence, y un pasivo de datos personales ya apareció como descuento de precio en transacciones reales. Aquí el plazo lo pone otro calendario, y no negocia.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Comercio electrónico
La empresa había puesto un aviso de consentimiento en cada punto de recolección y daba el tema por resuelto. Cuando empezaron las solicitudes de eliminación, descubrió que la misma casilla sostenía la entrega del pedido, la factura y el cobro, y que atender al titular al pie de la letra rompería la operación.
Rehicimos el análisis tratamiento por tratamiento, con jurídico al lado. Buena parte de lo que estaba bajo consentimiento tenía una base mejor disponible: ejecución de contrato para la entrega, obligación legal para la factura, interés legítimo documentado para prevención de fraude. El consentimiento quedó donde de hecho es la base correcta, que es la comunicación de marketing.
Las solicitudes de eliminación dejaron de ser crisis y se volvieron proceso. Y la base de marketing se redujo mucho menos de lo que el equipo temía, porque casi todo lo demás nunca dependió del consentimiento.
Servicios de recursos humanos
La empresa mantenía currículums, resultados de pruebas y notas de entrevista de todos los que alguna vez se postularon, sin plazo y sin criterio. Nadie había decidido guardarlos para siempre: simplemente nunca hubo una decisión de descartar, y el volumen se acumuló durante años.
Definimos plazos de retención por tipo de información, con jurídico evaluando qué debe quedarse por obligación legal y qué solo existía por conveniencia. Implantamos el descarte, y lo difícil no fue técnico: fue acordar qué hacer con las notas subjetivas del entrevistador, que son datos personales y el equipo no las veía así.
El acervo se redujo de forma expresiva, y con él el tamaño de cualquier incidente futuro. El dato que ya no existe no se filtra, y esa fue la reducción de riesgo más barata de todo el proyecto.
Industria
Decenas de proveedores tocaban datos personales de la empresa, de nómina a beneficios, del sistema de fichaje a la plataforma de capacitación. Ningún contrato tenía cláusula de protección de datos, y nadie sabía cuáles almacenaban información fuera del país.
Relevamos quién toca qué y clasificamos por riesgo, en lugar de tratar a los cuarenta como iguales. Los pocos críticos recibieron revisión contractual completa y verificación de dónde quedan los datos. El resto entró en un anexo estándar, con plazo, y compras pasó a exigir la cláusula antes de la firma.
La ganancia no fue solo jurídica. Al mapear los proveedores, la empresa descubrió tres sistemas contratados por áreas, sin pasar por TI, tratando datos de empleados. Dos fueron apagados.
CÓMO LO CONDUCIMOS
Jurídico y gestión caminan juntos desde el primer día, y no en secuencia. Una adecuación conducida solo por jurídico produce un dictamen que nadie opera, y conducida solo por tecnología produce controles sin base legal detrás. Las dos lecturas tienen que cruzarse en cada tratamiento.
Relevamos los tratamientos por proceso de negocio, con quien opera y no solo con quien coordina, porque la planilla oficial casi nunca coincide con la práctica. Registramos origen, finalidad, quién accede, hacia dónde va, cuánto tiempo queda y qué proveedores tocan.
Inventario de tratamientos por proceso de negocio
Flujo de datos personales, incluyendo transferencias a terceros
Lista de proveedores con acceso, clasificada por riesgo
Identificación de lo que es dato personal sensible
Hito de entregaInventario aprobado por las áreas dueñas de los procesos, y no solo por TI.
Con jurídico, definimos la base legal de cada tratamiento y registramos la justificación. Evaluamos los riesgos a los titulares, que no son los mismos riesgos de la seguridad de la información, y producimos informe de impacto donde la ley o el riesgo lo piden.
Base legal registrada y justificada por tratamiento
Prueba de interés legítimo donde esa es la base elegida
Informe de impacto a la protección de datos, donde aplique
Política de privacidad y avisos reescritos para lo que la empresa realmente hace
Hito de entregaBase legal definida en el 100% de los tratamientos inventariados, con jurídico de acuerdo.
Implantamos con tu equipo lo que sostiene la decisión en el día a día: acceso por necesidad, retención y descarte por tipo de dato, cláusulas en los contratos con terceros y el proceso de atención al titular, con canal, plazo, registro y respuesta estandarizada.
Proceso de atención al titular, con plazo y registro
Política de retención y descarte, implantada y no solo escrita
Cláusulas de protección de datos revisadas en contratos de terceros
Encargado formalizado y contacto publicado
Hito de entregaPrimer ciclo de solicitudes de titulares atendido dentro del plazo, con registro completo.
Es la fase que separa adecuación de informe. Definimos quién revisa qué y con qué frecuencia, capacitamos a quien opera y ensayamos un incidente, para que la decisión de comunicar a la autoridad y a los titulares se tome con el plan en la mano y no en el susto.
Rutina de revisión definida, con responsable y periodicidad
Plan de respuesta a incidente con datos personales, ensayado
Capacitación de las áreas que más tratan datos personales
Informe para la dirección, con lo que quedó pendiente por escrito
Hito de entregaEnsayo de incidente concluido, con la decisión de comunicar tomada dentro del plan.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque plazo publicado se convierte en promesa. La primera conversación suele bastar para separar los dos casos que más aparecen: la empresa que nunca hizo nada y la que hizo un proyecto hace años y no lo mantuvo. La segunda casi siempre está más cerca de lo que imagina, y a veces más lejos.
Una operación con media docena de sistemas es un proyecto. Una con decenas de proveedores y áreas contratando herramientas por su cuenta es otro, y buena parte del tiempo se va descubriendo qué existe antes de poder decidir algo.
Con alguien interno disponible, el rol se formaliza rápido. Sin nadie, la decisión entre designar internamente y contratar el servicio debe tomarse temprano, porque el encargado participa del proyecto y no entra una vez terminado.
Adecuar alcanza para responderle a un cliente o a la autoridad con evidencia propia. Cuando hay intención de certificar privacidad después, organizamos el material ya en el formato de la ISO 27701 desde el comienzo, lo que cuesta poco ahora y ahorra un proyecto entero después.
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
La ley en sí no es certificable, y conviene saberlo antes de contratar nada, porque el término circula bastante en el mercado brasileño. Lo que demuestra cumplimiento es evidencia: inventario actualizado, base legal registrada, atención al titular funcionando y gobernanza que se prueba con documento fechado. Si lo que necesitas es un documento emitido por un tercero, para responderle a un cliente o a un regulador, la norma certificable de privacidad es la ISO 27701, y el trabajo de adecuación es justamente su base.
Trae el cuestionario o la cláusula del contrato. Te decimos qué ya existe en tu empresa que responde, qué falta de verdad y en qué orden tiene sentido resolverlo, sin convertir esto en un proyecto de dos años.