2026 жылғы LGPD-тің құрылымы

LGPD Бразилияның негізгі деректерді қорғау заңы болып табылады және оның негізгі мәтіні қабылданғаннан бері таңқаларлықтай тұрақты болып қалды. Өзгергені оның айналасындағы реттеуші инфрақұрылым.

Жетілген реттеуші ретіндегі ANPD

ANPD 2021 жылы толық жұмысқа кірісті және алғашқы үш жылын рәсімдік қуаттылықты дамытуға, нұсқаулықтар шығаруға және кеңесулер жүргізуге жұмсады. 2024 жылға қарай белсенді орындауға көшті, ал 2025 жылға қарай шетелдік платформаларға қарсыларды қоса алғанда, алғашқы айтарлықтай әкімшілік айыппұлдарының бірнешеуін шығарды. Агенттіктің 2026 жылғы ұстанымы бұрынғы жеңіл кезеңіне қарағанда европалық әріптестеріне жақынырақ.

2026 жылғы шекара аралық беру ережесі

Шетелдік баспагерлер үшін ең маңызды реттеуші жетістік 2025 жылдың соңында түпкілікті түрде бекітілген және 2026 жылы күшіне енген ANPD-тің халықаралық беру ережесі болды. Ереже барабарлық шеңберін, ANPD бекіткен үлгілік шарттық тармақтарды, міндетті корпоративтік ережелерді және сертификаттарды енгізді, бәрі GDPR-дің V тарауының механизмдеріне ұқсас функционалды. Бұл ереже алдында шекара аралық берулер баспагерлер мен ad-tech жеткізушілер әдетте екіжақты коммерциялық келісімдер арқылы жол тапқан әлдеқайда бұлыңғырлау ережелер жиынтығы бойынша жұмыс істеді. 2026 жылғы режим айтарлықтай жеңілірек басқарылады, бірақ құжаттама тұрғысынан айтарлықтай талаптырақ.

Реттелетіндер

LGPD экстрааймақтық қолданылады. Жинау кезінде Бразилияда орналасқан адамдардың жеке деректерін өңдейтін немесе өңдеу қай жерде жүргізілгеніне қарамастан Бразилиядан жиналған деректерді өңдейтін кез келген бақылаушы аясына кіреді. Жергілікті сайттар немесе бразилиялық IP-ларға қарсы сатып алынған бағдарламалық қор арқылы бразилиялық пайдаланушыларға қызмет ететін шетелдік баспагерлер нақты қолданылу аясында, ал ANPD 2025 жылғы бірнеше ісінде экстрааймақтық ережені қолданды.

LGPD бойынша жеке деректерге не жатады

LGPD-тің жеке деректер анықтамасы кең және GDPR-ды жақын ұстанады. Жеке деректер — анықталған немесе анықталуы мүмкін жеке адамға қатысты ақпарат, ал ANPD тікелей немесе ақылға қонымды тәсілдермен жеке адаммен байланыстырылуы мүмкін кездерде cookie-лерді, жарнама идентификаторларын, IP мекенжайларын, құрылғы саусақ іздерін және мінез-құлық профильдерін жеке деректер ретінде үнемі қарастырды.

Сезімтал жеке деректер

LGPD сезімтал санаттардың кең тізімін анықтайды: нәсілдік немесе этникалық шығу тегі, діни сенім, саяси пікір, кәсіподақ немесе саяси ұйым мүшелігі, философиялық немесе діни нанымдар, денсаулық, жыныстық өмір, генетикалық деректер және бірегей сәйкестендіру үшін пайдаланылатын биометриялық деректер. Сезімтал жеке деректерді өңдеу қатаңырақ келісім талаптарын және қосымша бақылаушы міндеттемелерін туғызады.

Бұл cookie-лер үшін неліктен маңызды

Кәдімгі сеанс идентификаторын сақтайтын cookie — кәдімгі жеке дерек. LGPD сезімтал тізіміне жататын аудитория сегментін — денсаулық мүдделері, діни бірлестіктер, саяси бейімділіктер — қоректендіретін cookie сезімтал жеке деректерді өңдеу болып табылады және жалпы жарнама келісімі емес, жоғарылатылған келісім ағынын талап етеді. Сезімтал тізіммен қабаттасатын аудитория сегменттерін жүргізетін баспагерлер келісім ағындарын осы шекараға қарсы арнайы тексеруі керек.

2026 жылы LGPD бойынша cookie-ге келісім

LGPD өңдеу үшін бірнеше заңды негізді рұқсат береді, бірақ қызмет жеткізу үшін қатаң қажет емес cookie-лер мен ұқсас технологиялар үшін ANPD-тің нұсқаулығы мен орындауы практикалық бастапқы деңгей ретінде келісімде жинақталды.

Жарамды келісімнің бес элементі

LGPD бойынша келісім:

• Еркін болуы керек — мәжбүрлеусіз берілген және пайдаланушы өзге жағдайда алуға құқылы болатын қызметтің жеткізілуімен байланыстырылмаған
• Хабардар болу негізінде болуы керек — деректер субъектісі қандай деректердің, кімнің, қандай мақсат пен салдарлармен өңделетінін түсінеді
• Анық болуы керек — нақты растайтын іс-әрекет арқылы білдірілген, үнсіздіктен, алдын ала белгіленген жолақтардан немесе айналдыру-келісімінен болжалды емес
• Нақты болуы керек — жалпы жамылғы келісімнен емес, нақты анықталған мақсаттармен байланысты
• Сезімтал деректерді қамтитын жағдайларда нақты сезімтал өңдеуге арнайы және бөлек келісімімен ерекшеленген

Сәйкес CMP қандай болады

2026 жылы бразилиялық трафик үшін конфигурацияланған CMP:

• Бразилиялық пайдаланушыларға арналған португал тілінде (Português) әдепкі бойынша, кез келген маңызды емес cookie немесе трекер іске қосылмас бұрын көрінетін баннер ұсынуы керек
• Aceitar (Қабылдау), Recusar (Бас тарту) және Personalizar (Теңшеу) үшін тең визуалды көрнектілік — ANPD Recusar іс-әрекеті аз көрінетін баннер дизайндарын арнайы сынады
• Мақсатқа тегжейлі ауыстырғыштар: аналитика, жарнама, дербестеу, шекара аралық беру және кез келген сезімтал санатты өңдеу
• Өз іс-әрекеті артына бекітілген сезімтал жеке деректерді өңдеуге арналған бөлек, нақты белгіленген ағын
• Бастапқы таңдаудан кейін келісімді кері алуға арналған тұрақты, оңай табылатын механизм
• Бақылаушы, өңдеушілер, мақсаттар, алушылар, сақтау мерзімі және құқықтар туралы толық ақпарат берілген португал тіліндегі Aviso de Privacidade

Келісім жазбалары

Бақылаушылар келісімнің дәлелдемелерін сақтауы тиіс — кім, қашан, қандай мақсатқа және қандай интерфейс арқылы келіскені. ANPD бірнеше орындау шараларында жеткіліксіз келісім жазбаларын атап өтті, ал экспорттауға болатын уақыт белгіленген журналдар базалық күту болып табылады.

2026 жылғы шекара аралық беру режимі

Бұл 2026 жылдың 2024 жылдан айтарлықтай ерекшеленетін саласы. ANPD-тің халықаралық беру ережесі жылдың басында күшіне енді, ал оның практикалық салдары шетелдік баспагерлер тарапынан әлі игерілуде.

Жаңа беру механизмдері

Ереже заңды шекара аралық беру үшін төрт негізгі жолды қамтамасыз етеді:

• Тағайындалған юрисдикциялар немесе секторлар тиісті қорғауды қамтамасыз ететінін тануға шыққан ANPD шығарған барабарлық шешімдері
• GDPR SCC-терімен ұқсас функционалды ANPD бекіткен стандарттық шарттық тармақтар
• Трансұлттық ұйымдардағы топ ішілік берулерге арналған міндетті корпоративтік ережелер
• Стандартты жолдарға сәйкес келмейтін берулер үшін жеке-жеке жағдай бойынша арнайы рұқсат

2026 жылдың практикалық тәсілі

Көптеген шетелдік баспагерлер үшін 2026 жылдағы жұмыс тәсілі халықаралық өңдеушілермен ANPD бекіткен стандартты шарттық тармақтарды орындау, беру механизмін құпиялылық туралы хабарландыруда құжаттау және стандартты механизм сәйкес келмеген жерде ғана келісімге негізделген рұқсатпен толықтыру болып табылады. Бұл ыңғайсыз CMP-лар жасаған беруге-бір-келісім логикасына жиі сүйенген 2026 жылға дейінгі режимнен айтарлықтай қарапайым.

Осы уақытқа дейінгі барабарлық шешімдері

ANPD 2026 жылдың басына дейін бірнеше юрисдикция үшін барабарлық шешімдер шығарды және тізімді бірте-бірте кеңейтуі күтілуде. Америка Құрама Штаттары 2026 жылдың басына сәйкестілік тізімінде жоқ, яғни АҚШ-тағы ad-tech пен аналитика жеткізушілеріне берулер шарттық тармақтарды немесе басқа жарамды механизмді қажет етеді.

Деректер субъектілерінің құқықтары

LGPD бразилиялық шеңбер арқылы қолданылатын мықты құқықтар жиынтығын береді:

• Өңдеуді растату құқығы
• Өңделген деректерге қол жетімділік құқығы
• Толық емес, дәл емес немесе ескірген деректерді түзету құқығы
• Қажет емес, шамадан тыс немесе заңсыз өңделген деректерді анонимдеу, бұғаттау немесе жою құқығы
• Деректерді басқа қызмет провайдеріне тасымалдау құқығы
• Келісім негізінде өңделген деректерді жою құқығы
• Деректер бөлінген мемлекеттік және жеке тұлғалар туралы ақпарат алу құқығы
• Келісімнен бас тарту мүмкіндігі мен бас тартудың салдары туралы ақпарат алу құқығы
• Келісімді кері алу құқығы
• Сәйкессіздік болған кезде заңды мүдде негіздерінің бірі бойынша жүргізілген өңдеуге қарсылық білдіру құқығы
• Тек автоматтандырылған өңдеу негізінде қабылданған шешімдерді қарап шығу құқығы

Жауап беру мерзімдері

Бақылаушылар ереже бойынша деректер субъектілерінің өтінімдеріне 15 күн ішінде жауап беруі тиіс, негізделген жағдайларда ұзарту мүмкіндігімен. Бұл GDPR-дің 30 күндік терезесінен қатаңырақ және еуропалық қарқынға бейімделген шетелдік баспагерлер үшін қайталанатын оперативтік алшақтық болды.

2026 жылғы санкциялар мен орындау ұстанымы

ANPD-тің орындау іс-әрекеті 2024 және 2025 жылдары айтарлықтай күшейді, ал 2026 жылы ұқсас траекторияда.

Әкімшілік айыппұлдар

LGPD алдыңғы қаржы жылы бақылаушының Бразилиядағы іс-әрекетінен алынған кірісінің 2 пайызына дейінгі әкімшілік айыппұлдарға, бұзушылыққа BRL 50 миллионмен шектеліп рұқсат береді. ANPD шетелдік платформаларға қарсыларды қоса алғанда 2025 жылғы бірнеше ісінде диапазонның ортасын пайдаланды, ал агенттіктің айыппұл әдістемесі 2024 жылы жарияланды және қазір бірқалыпты қолданылуда.

Басқа санкциялар

Айыппұлдардан тыс ANPD ескертулер шығара алады, түзету шараларын талап ете алады, өңдеу іс-әрекеттерін ішінара немесе толығымен тоқтата алады және нақты өңдеу операцияларына тыйым сала алады. Бұзушылықты жариялау кезекті ілеспе санкция болып табылады және Бразилия нарығында беделдік маңызы бар.

Орындау тақырыптары

ANPD-тің 2025 жылғы және 2026 жылдың басындағы іс-шаралары қайталанатын мәселелер айналасында топтасады: анықсыз немесе жоқ келісім баннерлері, португал тіліндегі құпиялылық туралы хабарландырудың жоқтығы, жаңа ереже бойынша жарамды механизмсіз шекара аралық берулер және деректер субъектілерінің өтінімдеріне 15 күндік терезе ішінде жауап бермеу. Шетелдік баспагерлер төрт санаттың барлығында да аталды.

DPO талабы

LGPD бақылаушылардан Деректерді қорғау жөніндегі маман (Encarregado de Tratamento de Dados Pessoais) тағайындауды және DPO-ның байланыс ақпаратын жариялауды талап етеді. Бразилия деректерін ауқымды өңдейтін шетелдік бақылаушыларға тағайындалған DPO қажет, ал байланыс ақпараты құпиялылық туралы хабарландыруда оңай қолжетімді болуы тиіс. ANPD бірнеше орындау хаттарында жоқ немесе қол жетімді емес DPO байланыс ақпаратын атап өтті.

2026 жылы бразилиялық трафик үшін аудит тізімі

• CMP баннері Aceitar, Recusar және Personalizar тең визуалды көрнектілікпен португал тілінде ұсынылады
• Келісім мақсаттары тегжейлі және кез келген сезімтал санатты өңдеу өз келісім ағынының артына бөлінген
• Құпиялылық туралы хабарландыру (Aviso de Privacidade) бақылаушы, өңдеушілер, мақсаттар, сақтау мерзімі, құқықтар және DPO байланыс мәліметтері туралы толық ақпаратпен португал тілінде қолжетімді
• Шекара аралық берулер ANPD бекіткен стандартты шарттық тармақтарға, барабарлық шешіміне, BCR-ге немесе арнайы рұқсатқа сүйенеді — бұрынғы беруге-бір-келісім логикасына емес
• Келісім журналдары уақыт белгіленген, экспорттауға болатын және өңдеу мерзімінен қосымша тексерілетін маржаға дейін сақталады
• Деректер субъектісінің өтінімін өңдеу жұмыс ағыны 15 күн ішінде португал тілінде ұштан ұшқа жауап бере алады
• DPO тағайындалған және байланыс ақпараты құпиялылық туралы хабарландыруда жарияланған
• Жеткізуші тізімі қажеттілік тұрғысынан қарастырылды, шекара аралық беру бетін азайту үшін пайдаланылмаған немесе артық жеткізушілер жойылды
• Сезімтал санат аудитория сегменттері нақты, бөлек жиналған келісімнің артына бекітілген

2026 жылдың болашағы

Бразилияның құпиялылық режимі шектеулі орындаумен жақсы жазылған заңнамадан Американың ең талаптырақ режимдерінің біріне дейін жетілді. 2026 жылғы шекара аралық беру ережесі ең маңызды құрылымдық алшақтықты жапты, ал ANPD-тің орындау ұстанымы заңның мақсаттарына жетті. GDPR деңгейіндегі келісім стегін жүргізетін баспагерлер үшін LGPD сәйкестілігіне дейінгі алшақтық архитектуралықтан гөрі операциялық: португал тіліндегі CMP және хабарландыру, ANPD бекіткен беру механизмдері, 15 күндік жауап қарқыны, DPO тағайындауы және кеңірек сезімтал деректер тізіміне абай болу. Алшақтықты бірнеше аптада жабуға болады, егер оған басымдылық берілсе — ал Бразилия Латын Америкасының ең үлкен жалғыз нарығы, сондықтан басымдылық беру әдетте тез өтеледі. 2024 жылға дейін Бразилияны жеңілдеу нарық ретінде қарастырған баспагерлер 2026 жылды айтарлықтай қымбаттырақ деп санайды, ал одан да кешіктіргендер 2027 жылды одан да нашар деп табады.