بنية قانون LGPD في 2026

قانون LGPD هو التشريع الأساسي لحماية البيانات في البرازيل، وقد ظل نصه الأساسي مستقرًا بشكل ملحوظ منذ سنّه. ما تغيّر هو البنية التنظيمية المحيطة به.

ANPD بوصفها جهة تنظيمية ناضجة

أصبحت ANPD تعمل بشكل كامل في 2021 وأمضت سنواتها الثلاث الأولى في بناء القدرات الإجرائية وإصدار الإرشادات وإجراء المشاورات. وبحلول 2024 كانت قد انتقلت إلى الإنفاذ النشط، وبحلول 2025 أصدرت بعضًا من أولى غراماتها الإدارية الكبيرة، بما في ذلك ضد منصات أجنبية. وموقف الهيئة في 2026 أقرب إلى نظيراتها الأوروبية منه إلى فترتها السابقة ذات اللمسة اللينة.

لائحة نقل البيانات عبر الحدود لعام 2026

أهم تطور تنظيمي بالنسبة للناشرين الأجانب كان لائحة النقل الدولي من ANPD، التي تم اعتمادها نهائيًا في أواخر 2025 ودخلت حيز التنفيذ في 2026. تقدم اللائحة إطار كفاية، وبنودًا تعاقدية نموذجية معتمدة من ANPD، وقواعد ملزمة للشركات، وشهادات، وكلها تعمل بشكل مماثل لآليات الفصل الخامس من GDPR. قبل هذه اللائحة، كانت عمليات النقل عبر الحدود تجري بموجب مجموعة قواعد أكثر غموضًا كان الناشرون وموردو تقنيات الإعلان يتعاملون معها عادة من خلال ترتيبات تجارية ثنائية. نظام 2026 أكثر قابلية للتطبيق بشكل كبير لكنه أكثر تطلبًا من حيث التوثيق.

من هو المخاطَب بالتنظيم

يطبَّق LGPD خارج الإقليم. أي جهة تحكم تعالج بيانات شخصية لأفراد موجودين في البرازيل وقت جمعها، أو تعالج بيانات مجمَّعة من البرازيل بغض النظر عن مكان المعالجة، تدخل في النطاق. الناشرون الأجانب الذين يخدمون المستخدمين البرازيليين عبر مواقع محلية أو مخزون برمجي يُشترى عبر عناوين IP برازيلية يقعون بوضوح ضمن النطاق، وقد استندت ANPD إلى الحكم خارج الإقليم في عدة قضايا في 2025.

ما الذي يُعد بيانات شخصية بموجب LGPD

تعريف البيانات الشخصية في LGPD واسع ويتطابق بشكل وثيق مع GDPR. البيانات الشخصية هي المعلومات المتعلقة بشخص طبيعي محدد أو قابل للتحديد، وقد عاملت ANPD باستمرار ملفات تعريف الارتباط، ومعرفات الإعلانات، وعناوين IP، وبصمات الأجهزة، والملفات السلوكية باعتبارها بيانات شخصية عندما يمكن ربطها بفرد بشكل مباشر أو عبر وسائل معقولة.

البيانات الشخصية الحساسة

يحدد LGPD قائمة واسعة من الفئات الحساسة: الأصل العرقي أو الإثني، المعتقد الديني، الرأي السياسي، عضوية النقابات أو المنظمات السياسية، القناعات الفلسفية أو الدينية، الصحة، الحياة الجنسية، البيانات الجينية، والبيانات الحيوية عند استخدامها للتعريف الفريد. تستوجب معالجة البيانات الشخصية الحساسة متطلبات موافقة أكثر صرامة والتزامات إضافية على جهة التحكم.

لماذا يهم ذلك بالنسبة لملفات تعريف الارتباط

ملف تعريف الارتباط الذي يخزن معرف جلسة اعتيادي هو بيانات شخصية عادية. أما ملف تعريف الارتباط الذي يغذي شريحة جمهور تمس قائمة LGPD الحساسة — اهتمامات صحية، انتماءات دينية، ميول سياسية — فهو معالجة لبيانات شخصية حساسة ويتطلب تدفق الموافقة المعزز، وليس موافقة الإعلانات العامة. على الناشرين الذين يديرون شرائح جمهور تتداخل مع القائمة الحساسة أن يراجعوا تدفقات موافقتهم تحديدًا مقارنة بهذه الحدود.

موافقة ملفات تعريف الارتباط بموجب LGPD في 2026

يسمح LGPD بعدة أسس قانونية للمعالجة، لكن بالنسبة لملفات تعريف الارتباط والتقنيات المماثلة غير الضرورية تمامًا لتقديم الخدمة، تقاربت إرشادات ANPD وإنفاذها على الموافقة بوصفها الخط الأساسي العملي.

العناصر الخمسة للموافقة الصحيحة

يجب أن تكون الموافقة بموجب LGPD:

• حرة — تُمنح دون إكراه وغير مجمعة مع تقديم خدمة يحق للمستخدم الحصول عليها أصلًا
• مستنيرة — يفهم صاحب البيانات ما البيانات التي تُعالج، ومن يعالجها، ولأي غرض، وبأي نتائج
• لا لبس فيها — يتم التعبير عنها من خلال فعل إيجابي واضح، ولا تُستنتج من الصمت أو المربعات المحددة مسبقًا أو التمرير بوصفه موافقة
• محددة — مرتبطة بأغراض مُعرَّفة بوضوح وليس موافقة مظلية شاملة
• مُبرَزة في الحالات التي تتضمن بيانات حساسة، مع موافقة صريحة ومنفصلة للمعالجة الحساسة المحددة

كيف يبدو CMP متوافق

CMP الذي تم تكوينه لحركة المرور البرازيلية في 2026 يجب أن يعرض:

• لافتة ظاهرة قبل إطلاق أي ملف تعريف ارتباط أو متتبع غير أساسي، بالبرتغالية (Português) بشكل افتراضي للمستخدمين البرازيليين
• بروزًا بصريًا متساويًا لـ Aceitar (قبول) وRecusar (رفض) وPersonalizar (تخصيص) — وقد أشارت ANPD تحديدًا إلى تصاميم اللافتات التي يكون فيها إجراء Recusar أقل وضوحًا
• مفاتيح دقيقة لكل غرض: التحليلات، الإعلانات، التخصيص، النقل عبر الحدود، وأي معالجة من الفئة الحساسة
• تدفقًا منفصلًا وواضح التسمية لمعالجة البيانات الشخصية الحساسة، محميًا خلف إجراء خاص به
• آلية دائمة وسهلة الإيجاد لسحب الموافقة بعد الاختيار الأولي
• Aviso de Privacidade بالبرتغالية مع إفصاحات كاملة عن جهة التحكم والمعالجين والأغراض والمستلمين والاحتفاظ والحقوق

سجلات الموافقة

يجب على جهات التحكم الاحتفاظ بدليل على الموافقة — من وافق، ومتى، ولأي غرض، ومن خلال أي واجهة. وقد استشهدت ANPD بسجلات موافقة غير كافية في عدة إجراءات إنفاذ، والسجلات القابلة للتصدير والمختومة بالوقت هي الحد الأدنى المتوقع.

نظام نقل البيانات عبر الحدود لعام 2026

هذا هو المجال الذي يبدو فيه عام 2026 مختلفًا بشكل ملموس عن 2024. دخلت لائحة النقل الدولي الصادرة عن ANPD حيز التنفيذ في بداية العام، ولا تزال الآثار العملية تُستوعب من قبل الناشرين الأجانب.

آليات النقل الجديدة

توفر اللائحة أربعة مسارات رئيسية للنقل المشروع عبر الحدود:

• قرارات الكفاية الصادرة عن ANPD والتي تعترف بولايات قضائية أو قطاعات وجهة بوصفها توفر حماية كافية
• البنود التعاقدية القياسية المعتمدة من ANPD، والتي تعمل بشكل مماثل لـ SCC في GDPR
• القواعد الملزمة للشركات للنقل داخل المجموعة ضمن المنظمات متعددة الجنسيات
• الترخيص الخاص للنقل الذي لا يناسب المسارات القياسية، على أساس كل حالة على حدة

النهج العملي لعام 2026

بالنسبة لمعظم الناشرين الأجانب، النهج العملي في 2026 هو تنفيذ البنود التعاقدية القياسية المعتمدة من ANPD مع المعالجين الدوليين، وتوثيق آلية النقل في إشعار الخصوصية، والاستكمال بترخيص يستند إلى الموافقة فقط حيث لا تتناسب الآلية القياسية. هذا أبسط بشكل ملموس من نظام ما قبل 2026، الذي اعتمد غالبًا على منطق الموافقة لكل عملية نقل وأنتج CMP غير عملية.

قرارات الكفاية حتى الآن

أصدرت ANPD قرارات كفاية لعدد قليل من الولايات القضائية حتى مطلع 2026، ومن المتوقع أن توسع القائمة تدريجيًا. الولايات المتحدة ليست على قائمة الكفاية اعتبارًا من مطلع 2026، مما يعني أن عمليات النقل إلى موردي تقنيات الإعلان والتحليلات المقيمين في الولايات المتحدة تتطلب بنودًا تعاقدية أو آلية أخرى صالحة.

حقوق أصحاب البيانات

يمنح LGPD مجموعة قوية من الحقوق، تُطبَّق عبر الإطار البرازيلي:

• الحق في تأكيد المعالجة
• حق الوصول إلى البيانات المعالجة
• الحق في تصحيح البيانات غير المكتملة أو غير الدقيقة أو القديمة
• الحق في إخفاء الهوية أو حظر أو حذف البيانات غير الضرورية أو المفرطة أو المعالجة بشكل غير قانوني
• الحق في نقل البيانات إلى مزود خدمة آخر
• الحق في حذف البيانات التي تمت معالجتها على أساس الموافقة
• الحق في الحصول على معلومات حول الكيانات العامة والخاصة التي تمت مشاركة البيانات معها
• الحق في الحصول على معلومات حول إمكانية رفض الموافقة وعواقب الرفض
• الحق في سحب الموافقة
• الحق في الاعتراض على المعالجة التي تُجرى على أساس إحدى قواعد المصالح المشروعة عند وجود عدم امتثال
• الحق في مراجعة القرارات المتخذة بناءً على المعالجة الآلية وحدها

الجداول الزمنية للاستجابة

يجب على جهات التحكم الاستجابة لطلبات أصحاب البيانات خلال 15 يومًا بموجب اللائحة، مع إمكانية التمديد في الحالات المبررة. هذا أكثر صرامة من نافذة 30 يومًا في GDPR وقد كان فجوة تشغيلية متكررة للناشرين الأجانب المتناغمين مع الإيقاع الأوروبي.

العقوبات وموقف الإنفاذ في 2026

تصاعد نشاط الإنفاذ لدى ANPD بشكل ملموس خلال 2024 و2025، و2026 على مسار مماثل.

الغرامات الإدارية

يسمح LGPD بغرامات إدارية تصل إلى 2 بالمئة من إيرادات جهة التحكم من نشاطها في البرازيل في السنة المالية السابقة، بحد أقصى BRL 50 مليون لكل مخالفة. وقد استخدمت ANPD الشريحة الوسطى من النطاق في عدة قضايا في 2025، بما في ذلك ضد منصات أجنبية، وتم نشر منهجية العقوبات لدى الهيئة في 2024 وهي تُطبَّق الآن بشكل متسق.

العقوبات الأخرى

بخلاف الغرامات، يمكن لـ ANPD إصدار تحذيرات، وفرض إجراءات تصحيحية، وتعليق أنشطة المعالجة كليًا أو جزئيًا، وحظر عمليات معالجة محددة. نشر المخالفة عقوبة مصاحبة معتادة وتحمل وزنًا سمعيًا في السوق البرازيلي.

موضوعات الإنفاذ

تتمحور إجراءات ANPD في 2025 ومطلع 2026 حول قضايا متكررة: لافتات موافقة غامضة أو غائبة، غياب إشعار خصوصية بالبرتغالية، عمليات نقل عبر الحدود بدون آلية صالحة بموجب اللائحة الجديدة، والفشل في الاستجابة لطلبات أصحاب البيانات خلال نافذة الـ 15 يومًا. تم الاستشهاد بناشرين أجانب في كل الفئات الأربع.

شرط DPO

يتطلب LGPD من جهات التحكم تعيين مسؤول حماية البيانات (Encarregado de Tratamento de Dados Pessoais) ونشر معلومات الاتصال الخاصة به. تحتاج جهات التحكم الأجنبية التي تعالج بيانات برازيلية على نطاق واسع إلى DPO معيَّن، ويجب أن تكون معلومات الاتصال متاحة بسهولة في إشعار الخصوصية. أشارت ANPD إلى غياب معلومات الاتصال الخاصة بـ DPO أو عدم إتاحتها في عدة رسائل إنفاذ.

قائمة تدقيق لحركة المرور البرازيلية في 2026

• لافتة CMP تُقدَّم بالبرتغالية مع Aceitar وRecusar وPersonalizar بنفس البروز البصري
• أغراض الموافقة دقيقة وتفصل أي معالجة من الفئة الحساسة خلف تدفق موافقتها الخاص
• إشعار الخصوصية (Aviso de Privacidade) متاح بالبرتغالية مع إفصاحات كاملة عن جهة التحكم والمعالجين والأغراض والاحتفاظ والحقوق وجهة اتصال DPO
• تعتمد عمليات النقل عبر الحدود على البنود التعاقدية القياسية المعتمدة من ANPD أو قرار كفاية أو BCR أو ترخيص خاص — وليس على منطق الموافقة لكل عملية نقل القديم
• سجلات الموافقة مختومة بالوقت وقابلة للتصدير ومحتفظ بها طوال مدة المعالجة بالإضافة إلى هامش قابل للتدقيق
• يمكن لمسار طلبات أصحاب البيانات الاستجابة خلال 15 يومًا من الطرف إلى الطرف، بالبرتغالية
• تم تعيين DPO ونشر معلومات الاتصال في إشعار الخصوصية
• تمت مراجعة قائمة الموردين بحثًا عن الضرورة، مع إزالة الموردين غير المستخدمين أو المكررين لتقليل مساحة النقل عبر الحدود
• شرائح جمهور الفئات الحساسة محمية خلف موافقة صريحة ومُلتقطة بشكل منفصل

آفاق عام 2026

نضج نظام الخصوصية في البرازيل من تشريع محكم الصياغة بإنفاذ محدود إلى واحد من أكثر الأنظمة تطلبًا في الأمريكتين. أغلقت لائحة نقل البيانات عبر الحدود لعام 2026 أهم فجوة هيكلية، ولحق موقف الإنفاذ لدى ANPD بطموحات القانون. بالنسبة للناشرين الذين يشغلون بالفعل منظومة موافقة بمستوى GDPR، فإن الفجوة إلى الامتثال لـ LGPD تشغيلية وليست معمارية: CMP وإشعار بالبرتغالية، وآليات نقل معتمدة من ANPD، وإيقاع الاستجابة في 15 يومًا، وتعيين DPO، والعناية بقائمة البيانات الحساسة الأوسع. يمكن إغلاق الفجوة في أسابيع إذا أُعطيت الأولوية — والبرازيل هي أكبر سوق منفرد في أمريكا اللاتينية، لذا فإن تحديد الأولوية عادةً ما يدفع عوائده بسرعة. الناشرون الذين عاملوا البرازيل كسوق ذي لمسة أخف حتى 2024 يجدون 2026 أكثر كلفة بشكل ملموس، وأولئك الذين يؤخرون أكثر سيجدون 2027 أسوأ.