LGPD para empresas extranjeras: cuándo se aplica la ley brasileña de datos

La ley brasileña de protección de datos (LGPD, Ley 13.709/2018) se aplica a una empresa extranjera, aunque no tenga oficina en Brasil, cuando trata datos en Brasil, ofrece bienes o servicios a personas ubicadas en Brasil o trata datos recolectados en el país. Una fintech latinoamericana que acepta clientes brasileños, una plataforma que cobra en reales o un grupo con empleados en Brasil deben, en la práctica, cumplir con la LGPD.

¿Cuándo se aplica la LGPD a una empresa extranjera?

El artículo 3 de la LGPD prevé tres supuestos, independientes del país de la sede o de dónde están los servidores:

1. el tratamiento se realiza en territorio brasileño;
2. el objetivo es ofrecer o suministrar bienes o servicios, o tratar datos de personas ubicadas en Brasil;
3. los datos fueron recolectados en Brasil.

Sitio web en portugués, precios en reales, medios de pago locales como Pix o publicidad dirigida al público brasileño son señales claras de que la empresa apunta al mercado brasileño. El artículo 4 excluye ciertos datos que provienen del exterior y solo transitan por Brasil, sin comunicarse a agentes brasileños.

Transferencias internacionales de datos

Enviar datos personales de Brasil a otro país exige uno de los mecanismos del artículo 33 de la LGPD. La Resolución CD/ANPD 19/2024 aprobó cláusulas contractuales estándar que deben adoptarse sin alteraciones sustanciales. Para grupos con matriz en México, Colombia, Chile o Argentina, por ejemplo, los contratos intragrupo y con proveedores de nube deben incluir esas cláusulas o apoyarse en otro mecanismo válido.

Encargado de datos y atención al titular

El responsable debe designar un encargado (DPO), mediante acto formal, publicar su identidad y contacto y nombrar un sustituto, según la Resolución CD/ANPD 18/2024. Puede ser una persona física o jurídica, interna o externa, y debe comunicarse en portugués con los titulares y con la autoridad. Los agentes de pequeño porte pueden estar dispensados, salvo que realicen tratamientos de alto riesgo. Los pedidos de acceso completo deben responderse en hasta 15 días.

Incidentes de seguridad

La Resolución CD/ANPD 15/2024 exige comunicar a la ANPD y a los titulares, en tres días hábiles desde el conocimiento, los incidentes que puedan causar riesgo o daño relevante. Datos financieros, de autenticación y datos a gran escala están entre los criterios que indican riesgo relevante, lo que pone a las fintechs en el centro de la regla. Todos los incidentes deben registrarse y el registro conservarse por al menos cinco años.

Fintechs: la LGPD y la regulación financiera

Una fintech que opera en Brasil convive con dos capas de reglas. La LGPD rige el tratamiento de datos personales; el Banco Central tiene normas propias de ciberseguridad, contratación de servicios en la nube y secreto bancario para instituciones autorizadas. Además, la LGPD permite la base legal de protección del crédito, útil para análisis de riesgo, siempre con transparencia y respeto a los derechos del titular.

¿Quién fiscaliza y cuáles son las sanciones?

La Agencia Nacional de Protección de Datos (ANPD), convertida en autarquía especial por la Ley 15.352/2026, puede aplicar advertencias, multas de hasta el 2% de la facturación en Brasil (limitadas a R$ 50 millones por infracción), publicación de la infracción, bloqueo o eliminación de datos y suspensión de actividades. Órganos de defensa del consumidor y tribunales también aplican la ley.

Preguntas frecuentes

¿Necesito un representante legal en Brasil por la LGPD?

La LGPD no exige un representante equivalente al del artículo 27 del RGPD, pero sí un encargado con capacidad de comunicarse en portugués.

¿Las cláusulas estándar europeas sirven para Brasil?

No como sustituto. La ANPD adoptó sus propias cláusulas, que deben incorporarse a los contratos.

¿La LGPD se aplica a datos de clientes empresariales?

Sí, cuando involucra personas identificables, como empleados o contactos de las empresas clientes.

Cómo puede ayudar Chambarelli Advogados

Nuestro equipo de Regulación de Nuevas Tecnologías y nuestro Foreign Desk evalúan la exposición a la LGPD, adoptan las cláusulas de transferencia y estructuran programas de cumplimiento para fintechs y servicios financieros. Agende una reunión con uno de nuestros socios.

Contenido informativo, actualizado en octubre de 2026. No sustituye el análisis del caso concreto.