LGPDn rakenne vuonna 2026

LGPD on Brasilian ensisijainen tietosuojalaki, ja sen ydinteksti on ollut hämmästyttävän vakaa siitä lähtien, kun se hyväksyttiin. Muuttunut on sen ympärillä oleva sääntelyinfrastruktuuri.

ANPD kypsänä sääntelyviranomaisena

ANPD tuli täysin toimivaksi vuonna 2021 ja vietti ensimmäiset kolme vuottaan rakentaen menettelyllisiä valmiuksia, antaen ohjeistusta ja pitäen kuulemisia. Vuoteen 2024 mennessä se oli siirtynyt aktiiviseen täytäntöönpanoon, ja vuoteen 2025 mennessä se oli antanut ensimmäisiä merkittäviä hallinnollisia sakkoja, myös ulkomaisille alustoille. Viranomaisen asenne vuonna 2026 on lähempänä eurooppalaisia vastineitaan kuin aiempaa pehmeän kosketuksen aikakauttaan.

Vuoden 2026 rajat ylittävien siirtojen asetus

Tärkein sääntelyllinen kehitys ulkomaisille julkaisijoille oli ANPDn kansainvälisten siirtojen asetus, joka viimeisteltiin vuoden 2025 lopussa ja tuli voimaan vuonna 2026. Asetus esittelee riittävyyttä koskevan kehyksen, ANPDn hyväksymät mallisopimuslausekkeet, sitovat yrityssäännöt ja sertifioinnit, jotka kaikki toimivat analogisesti GDPRin V luvun mekanismien kanssa. Ennen tätä asetusta rajat ylittävät siirrot toimivat paljon epämääräisempien sääntöjen nojalla, joiden kautta julkaisijat ja mainosteknologiatoimittajat navigoivat tyypillisesti kahdenvälisten kaupallisten järjestelyjen avulla. Vuoden 2026 järjestelmä on huomattavasti toimivampi mutta huomattavasti vaativampi dokumentaation suhteen.

Keitä sääntelee

LGPD soveltuu ekstraterritoriaalisesti. Jokainen rekisterinpitäjä, joka käsittelee Brasiliassa keräämishetkellä olevien henkilöiden henkilötietoja tai käsittelee Brasiliasta kerättyjä tietoja riippumatta siitä, missä käsittely tapahtuu, on soveltamisalan piirissä. Ulkomaiset julkaisijat, jotka palvelevat brasilialaisia käyttäjiä lokalisoitujen sivustojen tai brasilialaisia IP-osoitteita vastaan ostetun ohjelmistohankinnan kautta, ovat selvästi tavoitettavissa, ja ANPD on vedonnut ekstraterritoriaaliseen säännökseen useissa vuoden 2025 tapauksissa.

Mikä lasketaan henkilötiedoksi LGPDn alla

LGPDn henkilötiedon määritelmä on laaja ja seuraa tiiviisti GDPRia. Henkilötieto on tieto tunnistetusta tai tunnistettavissa olevasta luonnollisesta henkilöstä, ja ANPD on johdonmukaisesti kohdellut evästeitä, mainostunnisteita, IP-osoitteita, laitteiden sormenjälkiä ja käyttäytymisprofiileja henkilötietoina, kun ne voidaan yhdistää yksilöön suoraan tai kohtuullisin keinoin.

Arkaluonteiset henkilötiedot

LGPD määrittelee laajan luettelon arkaluonteisista kategorioista: rotu tai etninen alkuperä, uskonnollinen vakaumus, poliittinen mielipide, ammattiliiton tai poliittisen organisaation jäsenyys, filosofiset tai uskonnolliset vakaumukset, terveys, seksuaalielämä, geneettiset tiedot ja biometriset tiedot, kun niitä käytetään yksilölliseen tunnistamiseen. Arkaluonteisten henkilötietojen käsittely laukaisee tiukemmat suostumusvaatimukset ja rekisterinpitäjän lisävelvoitteet.

Miksi tämä on tärkeää evästeiden kannalta

Eväste, joka tallentaa tavallisen istuntotunnisteen, on tavallinen henkilötieto. Eväste, joka ruokkii LGPDn arkaluonteiseen luetteloon liittyvää kohderyhmäsegmenttiä — terveyskiinnostukset, uskonnolliset liitännäisyydet, poliittiset suuntaukset — on arkaluonteisten henkilötietojen käsittelyä ja edellyttää korotettua suostumusvirtaa, ei yleistä mainontasuostumusta. Julkaisijoiden, jotka käyttävät arkaluonteiseen luetteloon limittäisiä kohderyhmäsegmenttejä, tulee auditoida suostumusvirtansa erityisesti tätä rajaa vasten.

Evästeiden suostumus LGPDn alla vuonna 2026

LGPD sallii useita lainmukaisia perusteita käsittelylle, mutta evästeille ja vastaaville teknologioille, jotka eivät ole ehdottoman välttämättömiä palvelun toimittamiselle, ANPDn ohjeistus ja täytäntöönpano ovat supistuneet suostumukseen käytännön lähtötasona.

Pätevän suostumuksen viisi elementtiä

Suostumus LGPDn alla on oltava:

• Vapaaehtoinen — annettu ilman pakkoa eikä sidottuna palvelun tarjoamiseen, johon käyttäjällä muuten on oikeus
• Tietoon perustuva — rekisteröity ymmärtää, mitä tietoja käsitellään, kenen toimesta, mihin tarkoitukseen ja millä seurauksilla
• Yksiselitteinen — ilmaistu selkeällä myönteisellä teolla, ei tulkittu hiljaisuudesta, ennalta rastitetuista laatikoista tai vierityksestä-suostumuksena
• Tarkkaan yksilöity — sidottu selkeästi yksilöityihin tarkoituksiin yleisen kattavan suostumuksen sijaan
• Korostettu arkaluonteisia tietoja koskevissa tapauksissa, selkeällä ja erillisellä suostumuksella tietylle arkaluonteiselle käsittelylle

Miltä yhteensopiva CMP näyttää

Vuonna 2026 Brasilian liikenteelle konfiguroidun CMPin tulisi esittää:

• Näkyvä banneri ennen kuin mikään ei-välttämätön eväste tai seuranta käynnistyy, oletuksena portugaliksi (Português) brasilialaisille käyttäjille
• Yhtäläinen visuaalinen näkyvyys Aceitar (Hyväksy), Recusar (Hylkää) ja Personalizar (Mukauta) -vaihtoehdoille — ANPD on erityisesti ottanut esille bannerisuunnittelut, joissa Recusar-toiminto on vähemmän näkyvä
• Yksityiskohtaiset vaihtoehdot tarkoituksittain: analytiikka, mainonta, personointi, rajat ylittävä siirto ja mahdollinen arkaluonteisten kategorioiden käsittely
• Erillinen, selkeästi merkitty prosessi arkaluonteisten henkilötietojen käsittelylle, suojattuna omalla toiminnollaan
• Pysyvä, helposti löydettävä mekanismi suostumuksen peruuttamiseen alkuperäisen valinnan jälkeen
• Portugalilainen Aviso de Privacidade, jossa täydet tiedot rekisterinpitäjästä, käsittelijöistä, tarkoituksista, vastaanottajista, säilyttämisestä ja oikeuksista

Suostumustiedot

Rekisterinpitäjien on ylläpidettävä todisteita suostumuksesta — kuka suostui, milloin, mihin tarkoitukseen ja minkä liittymän kautta. ANPD on viitannut riittämättömiin suostumustietoihin useissa täytäntöönpanotoimissa, ja vietävissä olevat aikaleimoin varustetut lokit ovat lähtötasoinen odotus.

Vuoden 2026 rajat ylittävien siirtojen järjestelmä

Tämä on alue, jolla vuosi 2026 näyttää merkittävästi erilaiselta kuin 2024. ANPDn kansainvälisten siirtojen asetus tuli voimaan vuoden alussa, ja ulkomaiset julkaisijat sulattavat edelleen sen käytännöllisiä seurauksia.

Uudet siirtomekanismit

Asetus tarjoaa neljä ensisijaista reittiä lailliselle rajat ylittävälle siirrolle:

• Riittävyyspäätökset, joita ANPD on antanut tunnustaen kohdelainkäyttöalueet tai sektorit riittävän suojan tarjoajiksi
• ANPDn hyväksymät mallisopimuslausekkeet, jotka toimivat analogisesti GDPR SCC:ien kanssa
• Sitovat yrityssäännöt konsernin sisäisille siirroille monikansallisissa organisaatioissa
• Erityislupa siirroille, jotka eivät sovi tavallisille reiteille, tapauskohtaisesti

Käytännön lähestymistapa 2026

Useimmille ulkomaisille julkaisijoille käytännön lähestymistapa vuonna 2026 on ANPDn hyväksymien mallisopimuslausekkeiden toteuttaminen kansainvälisten käsittelijöiden kanssa, siirtomekanismin dokumentointi tietosuojailmoituksessa ja suostumuspohjaisen valtuutuksen täydentäminen vain silloin, kun vakiomekanismi ei sovi. Tämä on huomattavasti yksinkertaisempaa kuin ennen vuotta 2026 ollut järjestelmä, joka usein tukeutui suostumus-siirtokohtaisesti-logiikkaan, joka tuotti hankalasti hallittavia CMP:ejä.

Riittävyyspäätökset tähän mennessä

ANPD on antanut riittävyyspäätökset muutamalle lainkäyttöalueelle vuoden 2026 alkuun mennessä, ja listan odotetaan laajentuvan asteittain. Yhdysvallat ei ole riittävyyslistalla vuoden 2026 alussa, mikä tarkoittaa, että siirrot yhdysvaltalaisille mainosteknologia- ja analytiikkatoimittajille edellyttävät sopimuslausekkeita tai muuta pätevää mekanismia.

Rekisteröidyn oikeudet

LGPD myöntää vankan oikeuksien joukon, jota sovelletaan Brasilian kehyksen kautta:

• Oikeus vahvistaa käsittely
• Oikeus päästä käsiteltyihin tietoihin
• Oikeus korjata puutteelliset, epätarkat tai vanhentuneet tiedot
• Oikeus anonymisoida, estää tai poistaa tarpeettomia, liiallisia tai laittomasti käsiteltyjä tietoja
• Oikeus siirtää tiedot toiselle palveluntarjoajalle
• Oikeus poistaa suostumuksen perusteella käsitellyt tiedot
• Oikeus saada tietoja julkisista ja yksityisistä yhteisöistä, joiden kanssa tiedot on jaettu
• Oikeus saada tietoa suostumuksen kieltämisen mahdollisuudesta ja kieltämisen seurauksista
• Oikeus peruuttaa suostumus
• Oikeus vastustaa käsittelyä, jota harjoitetaan jonkin oikeutettujen etujen perusteella, kun on kyse lainvastaisuudesta
• Oikeus saattaa uudelleen tarkasteltavaksi pelkästään automatisoituun käsittelyyn perustuvat päätökset

Vastausajat

Rekisterinpitäjien on vastattava rekisteröidyn pyyntöihin 15 päivän kuluessa asetuksen mukaisesti, mahdollisuudella pidentää perusteltuja tapauksia varten. Tämä on tiukempi kuin GDPRin 30 päivän ikkuna ja on ollut toistuva toiminnallinen aukko ulkomaisille julkaisijoille, jotka on viritetty eurooppalaiseen rytmiin.

Seuraamukset ja täytäntöönpanoasenne vuonna 2026

ANPDn täytäntöönpanotoiminta on kiihtynyt merkittävästi vuosina 2024 ja 2025, ja vuosi 2026 on samalla linjalla.

Hallinnolliset sakot

LGPD sallii hallinnolliset sakot enintään 2 prosenttia rekisterinpitäjän tuloista sen toiminnasta Brasiliassa edellisellä tilikaudella, enintään BRL 50 miljoonaa rikkomusta kohden. ANPD on käyttänyt asteikon keskitasoa useissa vuoden 2025 tapauksissa, myös ulkomaisia alustoja vastaan, ja viranomaisen sakkometodologia julkaistiin vuonna 2024 ja sitä sovelletaan nyt johdonmukaisesti.

Muut seuraamukset

Sakkojen lisäksi ANPD voi antaa varoituksia, vaatia korjaavia toimenpiteitä, osittain tai kokonaan keskeyttää käsittelytoiminnot ja kieltää tietyt käsittelytoiminnot. Rikkomuksen julkaiseminen on tavallinen oheissanktio ja sillä on mainehaitallinen paino Brasilian markkinoilla.

Täytäntöönpanoteemat

ANPDn vuoden 2025 ja vuoden 2026 alkupuolen toimet koskevat toistuvia ongelmia: epäselvät tai puuttuvat suostumusbannerit, portugalilaisen tietosuojailmoituksen puuttuminen, rajat ylittävät siirrot ilman uuden asetuksen mukaista pätevää mekanismia ja epäonnistuminen vastata rekisteröidyn pyyntöihin 15 päivän ikkunassa. Ulkomaiset julkaisijat on mainittu kaikissa neljässä kategoriassa.

DPO-vaatimus

LGPD edellyttää, että rekisterinpitäjät nimeävät tietosuojavastaavan (Encarregado de Tratamento de Dados Pessoais) ja julkaisevat DPOn yhteystiedot. Ulkomaiset rekisterinpitäjät, jotka käsittelevät brasilialaisia tietoja laajamittaisesti, tarvitsevat nimetyn DPOn, ja yhteystietojen on oltava helposti saatavilla tietosuojailmoituksessa. ANPD on viitannut puuttuviin tai tavoittamattomiin DPOn yhteystietoihin useissa täytäntöönpanokirjeissä.

Brasilian liikenteen auditointitarkistuslista vuodelle 2026

• CMP-banneri näytetään portugaliksi, Aceitar, Recusar ja Personalizar yhtäläisellä visuaalisella näkyvyydellä
• Suostumustarkoitukset ovat yksityiskohtaisia ja erottavat arkaluonteisten kategorioiden käsittelyn omaan suostumusvirtaansa
• Tietosuojailmoitus (Aviso de Privacidade) on saatavilla portugaliksi täydellisillä tiedoilla rekisterinpitäjästä, käsittelijöistä, tarkoituksista, säilyttämisestä, oikeuksista ja DPOn yhteystiedoista
• Rajat ylittävät siirrot perustuvat ANPDn hyväksymiin mallisopimuslausekkeisiin, riittävyyspäätökseen, BCR:iin tai erityislupaan — ei vanhentuneeseen suostumus-siirtokohtaisesti-logiikkaan
• Suostumuksen lokitiedot ovat aikaleimattuja, vietävissä olevia ja säilytetty käsittelykauden sekä tarkastettavan marginaalin ajan
• Rekisteröidyn pyyntöjen työnkulku pystyy vastaamaan 15 päivässä alusta loppuun, portugaliksi
• DPO on nimetty ja yhteystiedot on julkaistu tietosuojailmoituksessa
• Toimittajalista on tarkistettu tarpeellisuuden suhteen, poistamalla käyttämättömät tai päällekkäiset toimittajat rajat ylittävien siirtojen pinnan pienentämiseksi
• Arkaluonteisten kategorioiden kohderyhmäsegmentit on suojattu selkeästi erikseen kerätyn suostumuksen taakse

Vuoden 2026 näkymät

Brasilian tietosuojajärjestelmä on kehittynyt hyvin laaditusta lainsäädännöstä rajoitetulla täytäntöönpanolla yhdeksi Amerikan vaativimmista järjestelmistä. Vuoden 2026 rajat ylittävien siirtojen asetus sulki merkittävimmän rakenteellisen aukon, ja ANPDn täytäntöönpanoasenne on saavuttanut lain tavoitteet. Julkaisijoille, jotka jo käyttävät GDPR-tasoista suostumuspinoa, kuilu LGPDn vaatimustenmukaisuuteen on operatiivinen eikä arkkitehtuurinen: portugalilainen CMP ja ilmoitus, ANPDn hyväksymät siirtomekanismit, 15 päivän vastausrytmi, DPO-nimitys ja huolellisuus laajemman arkaluonteisten tietojen listan suhteen. Kuilu voidaan kuroa umpeen viikkojen kuluessa, jos sille annetaan prioriteetti — ja Brasilia on Latinalaisen Amerikan suurin yksittäinen markkina, joten priorisointi maksaa tavallisesti itsensä nopeasti takaisin. Julkaisijat, jotka kohtelivat Brasiliaa kevyempänä markkinana vuoteen 2024 asti, löytävät vuoden 2026 merkittävästi kalliimpana, ja ne, jotka viivyttävät enemmän, löytävät vuoden 2027 vielä pahempana.