Struktur LGPD pada 2026

LGPD adalah statut perlindungan data utama di Brazil, dan teks terasnya telah kekal stabil secara luar biasa sejak penggubalan. Apa yang telah berubah adalah infrastruktur kawal selia di sekelilingnya.

ANPD sebagai Pengawal Selia yang Matang

ANPD menjadi beroperasi sepenuhnya pada 2021 dan menghabiskan tiga tahun pertamanya membina kapasiti prosedural, mengeluarkan panduan, dan menjalankan perundingan. Menjelang 2024 ia telah beralih kepada penguatkuasaan aktif, dan menjelang 2025 ia telah mengeluarkan beberapa denda pentadbiran pertama yang signifikan, termasuk terhadap platform asing. Pendirian agensi pada 2026 lebih dekat dengan rakan-rakan Eropah berbanding tempoh sentuhan lembut terdahulunya.

Peraturan Pemindahan Rentas Sempadan 2026

Perkembangan kawal selia yang paling penting bagi penerbit asing adalah peraturan pemindahan antarabangsa ANPD, yang diselesaikan pada akhir 2025 dan berkuat kuasa pada 2026. Peraturan ini memperkenalkan rangka kerja kecukupan, klausa kontrak model yang diluluskan oleh ANPD, peraturan korporat mengikat, dan pensijilan, semuanya berfungsi secara analogi dengan mekanisme Bab V GDPR. Sebelum peraturan ini, pemindahan rentas sempadan beroperasi di bawah set peraturan yang lebih samar yang lazimnya dilalui oleh penerbit dan vendor teknologi iklan melalui pengaturan komersial dua hala. Rejim 2026 jauh lebih boleh dilaksanakan tetapi jauh lebih menuntut dari segi dokumentasi.

Siapa yang Dikawal Selia

LGPD terpakai secara ekstrateritorial. Mana-mana pengawal yang memproses data peribadi individu yang berada di Brazil pada masa pengumpulan, atau memproses data yang dikumpul dari Brazil tanpa mengira di mana pemprosesan berlaku, adalah dalam skop. Penerbit asing yang melayani pengguna Brazil melalui tapak setempat atau inventori programatik yang dibeli terhadap IP Brazil jelas dalam jangkauan, dan ANPD telah menggunakan peruntukan ekstrateritorial dalam beberapa kes 2025.

Apa yang Dikira sebagai Data Peribadi di bawah LGPD

Definisi data peribadi LGPD adalah luas dan hampir meniru GDPR. Data peribadi adalah maklumat yang berkaitan dengan orang semula jadi yang dikenal pasti atau boleh dikenal pasti, dan ANPD secara konsisten menganggap kuki, pengecam iklan, alamat IP, cap jari peranti, dan profil tingkah laku sebagai data peribadi apabila ia boleh dikaitkan dengan individu secara langsung atau dengan cara yang munasabah.

Data Peribadi Sensitif

LGPD menetapkan senarai kategori sensitif yang luas: asal usul kaum atau etnik, kepercayaan agama, pendapat politik, keahlian kesatuan sekerja atau organisasi politik, keyakinan falsafah atau agama, kesihatan, kehidupan seksual, data genetik, dan data biometrik apabila digunakan untuk pengenalan unik. Memproses data peribadi sensitif mencetuskan keperluan persetujuan yang lebih ketat dan tanggungjawab pengawal tambahan.

Mengapa Ini Penting untuk Kuki

Kuki yang menyimpan pengecam sesi rutin adalah data peribadi biasa. Kuki yang menyuap segmen khalayak yang menyentuh senarai sensitif LGPD — kepentingan kesihatan, afiliasi agama, kecenderungan politik — adalah pemprosesan data peribadi sensitif dan memerlukan aliran persetujuan yang dipertingkatkan, bukan persetujuan iklan umum. Penerbit yang menjalankan segmen khalayak yang bertindih dengan senarai sensitif harus mengaudit aliran persetujuan mereka khususnya terhadap sempadan ini.

Persetujuan Kuki di bawah LGPD pada 2026

LGPD membenarkan pelbagai asas pemprosesan yang sah, tetapi bagi kuki dan teknologi serupa yang tidak diperlukan secara ketat untuk penyampaian perkhidmatan, panduan dan penguatkuasaan ANPD telah menumpu kepada persetujuan sebagai garis dasar praktikal.

Lima Elemen Persetujuan yang Sah

Persetujuan di bawah LGPD mestilah:

• Bebas — diberikan tanpa paksaan dan tidak digabungkan dengan pemberian perkhidmatan yang pengguna berhak untuk itu
• Termaklum — subjek data memahami data apa yang diproses, oleh siapa, untuk tujuan apa, dan dengan akibat apa
• Tidak samar-samar — dinyatakan melalui tindakan afirmatif yang jelas, tidak disimpulkan dari senyap, kotak yang telah ditanda sebelumnya, atau tatal sebagai persetujuan
• Spesifik — terikat kepada tujuan yang dikenal pasti dengan jelas daripada persetujuan payung am
• Ditonjolkan dalam kes yang melibatkan data sensitif, dengan persetujuan eksplisit dan berasingan untuk pemprosesan sensitif tertentu

Bagaimana CMP yang Patuh Kelihatan

CMP yang dikonfigurasi untuk trafik Brazil pada 2026 harus menampilkan:

• Banner yang kelihatan sebelum sebarang kuki atau penjejak bukan penting diaktifkan, dalam bahasa Portugis (Português) secara lalai untuk pengguna Brazil
• Keutamaan visual yang sama untuk Aceitar (Terima), Recusar (Tolak), dan Personalizar (Sesuaikan) — ANPD telah secara khusus menyebut reka bentuk banner di mana tindakan Recusar kurang kelihatan
• Togol terperinci mengikut tujuan: analitik, pengiklanan, pemperibadian, pemindahan rentas sempadan, dan sebarang pemprosesan kategori sensitif
• Aliran berasingan yang dilabel dengan jelas untuk pemprosesan data peribadi sensitif, dikunci di belakang tindakannya sendiri
• Mekanisme yang berterusan dan mudah dijumpai untuk menarik balik persetujuan selepas pilihan awal
• Aviso de Privacidade berbahasa Portugis dengan pendedahan penuh pengawal, pemproses, tujuan, penerima, pengekalan, dan hak

Rekod Persetujuan

Pengawal mesti mengekalkan bukti persetujuan — siapa yang bersetuju, bila, untuk tujuan apa, dan melalui antara muka yang mana. ANPD telah memetik rekod persetujuan yang tidak mencukupi dalam beberapa tindakan penguatkuasaan, dan log bertanda masa yang boleh dieksport adalah jangkaan garis dasar.

Rejim Pemindahan Rentas Sempadan 2026

Ini adalah kawasan di mana 2026 kelihatan berbeza secara bermakna dari 2024. Peraturan pemindahan antarabangsa ANPD berkuat kuasa pada awal tahun, dan implikasi praktikal masih diserap oleh penerbit asing.

Mekanisme Pemindahan Baharu

Peraturan menyediakan empat laluan utama untuk pemindahan rentas sempadan yang sah:

• Keputusan kecukupan yang dikeluarkan oleh ANPD yang mengiktiraf bidang kuasa atau sektor destinasi sebagai menyediakan perlindungan yang mencukupi
• Klausa kontrak standard yang diluluskan oleh ANPD, yang berfungsi secara analogi dengan SCC GDPR
• Peraturan korporat mengikat untuk pemindahan dalam kumpulan dalam organisasi multinasional
• Kebenaran khusus untuk pemindahan yang tidak sesuai dengan laluan standard, atas dasar kes demi kes

Pendekatan Praktikal 2026

Bagi kebanyakan penerbit asing, pendekatan kerja pada 2026 adalah untuk melaksanakan klausa kontrak standard yang diluluskan ANPD dengan pemproses antarabangsa, mendokumentasikan mekanisme pemindahan dalam notis privasi, dan menambah dengan kebenaran berasaskan persetujuan hanya di mana mekanisme standard tidak sesuai. Ini jauh lebih mudah berbanding rejim pra-2026, yang sering bergantung pada logik persetujuan setiap pemindahan yang menghasilkan CMP yang rumit.

Keputusan Kecukupan Setakat Ini

ANPD telah mengeluarkan keputusan kecukupan untuk beberapa bidang kuasa sehingga awal 2026, dan dijangka akan mengembangkan senarai secara beransur-ansur. Amerika Syarikat tidak ada dalam senarai kecukupan setakat awal 2026, yang bermakna pemindahan kepada vendor teknologi iklan dan analitik berasaskan AS memerlukan klausa kontrak atau mekanisme sah lain.

Hak Subjek Data

LGPD memberikan set hak yang kukuh, diterapkan melalui rangka kerja Brazil:

• Hak untuk pengesahan pemprosesan
• Hak akses kepada data yang diproses
• Hak untuk pembetulan data yang tidak lengkap, tidak tepat, atau lapuk
• Hak untuk anonimisasi, sekatan, atau pemadaman data yang tidak perlu, berlebihan, atau diproses secara menyalahi undang-undang
• Hak untuk mudah alih data kepada penyedia perkhidmatan lain
• Hak untuk pemadaman data yang diproses atas dasar persetujuan
• Hak untuk maklumat tentang entiti awam dan swasta yang mana data telah dikongsi
• Hak untuk maklumat tentang kemungkinan menolak persetujuan dan akibat penolakan
• Hak untuk menarik balik persetujuan
• Hak untuk membantah pemprosesan yang dijalankan atas dasar salah satu asas kepentingan sah apabila terdapat ketidakpatuhan
• Hak untuk menyemak keputusan yang dibuat semata-mata berdasarkan pemprosesan automatik

Garis Masa Respons

Pengawal mesti bertindak balas terhadap permintaan subjek data dalam tempoh 15 hari di bawah peraturan, dengan keupayaan untuk melanjutkan dalam kes yang dijustifikasikan. Ini lebih ketat berbanding tetingkap 30 hari GDPR dan telah menjadi jurang operasi berulang bagi penerbit asing yang diselaraskan dengan irama Eropah.

Penalti dan Pendirian Penguatkuasaan pada 2026

Aktiviti penguatkuasaan ANPD telah meningkat secara bermakna sepanjang 2024 dan 2025, dan 2026 berada pada trajektori yang serupa.

Denda Pentadbiran

LGPD membenarkan denda pentadbiran sehingga 2 peratus daripada hasil pengawal daripada aktivitinya di Brazil dalam tahun fiskal sebelumnya, dihadkan pada BRL 50 juta bagi setiap pelanggaran. ANPD telah menggunakan tengah julat dalam beberapa kes 2025, termasuk terhadap platform asing, dan metodologi penalti agensi diterbitkan pada 2024 dan kini diterapkan secara konsisten.

Sanksi Lain

Di luar denda, ANPD boleh mengeluarkan amaran, memerlukan langkah pembetulan, menggantung sebahagian atau sepenuhnya aktiviti pemprosesan, dan melarang operasi pemprosesan tertentu. Penerbitan pelanggaran adalah sanksi pengiring rutin dan membawa berat reputasi dalam pasaran Brazil.

Tema Penguatkuasaan

Tindakan ANPD 2025 dan awal 2026 berkumpul di sekitar isu berulang: banner persetujuan yang samar atau tiada, kekurangan notis privasi berbahasa Portugis, pemindahan rentas sempadan tanpa mekanisme yang sah di bawah peraturan baharu, dan kegagalan untuk bertindak balas terhadap permintaan subjek data dalam tetingkap 15 hari. Penerbit asing telah disebut dalam keempat-empat kategori.

Keperluan DPO

LGPD memerlukan pengawal untuk melantik Pegawai Perlindungan Data (Encarregado de Tratamento de Dados Pessoais) dan menerbitkan maklumat hubungan DPO. Pengawal asing yang memproses data Brazil dalam skala memerlukan DPO yang dilantik, dan maklumat hubungan mesti mudah diakses dalam notis privasi. ANPD telah memetik maklumat hubungan DPO yang hilang atau tidak boleh diakses dalam beberapa surat penguatkuasaan.

Senarai Semak Audit untuk Trafik Brazil pada 2026

• Banner CMP dihidangkan dalam bahasa Portugis dengan Aceitar, Recusar, dan Personalizar pada keutamaan visual yang sama
• Tujuan persetujuan adalah terperinci dan memisahkan sebarang pemprosesan kategori sensitif di belakang aliran persetujuannya sendiri
• Notis privasi (Aviso de Privacidade) tersedia dalam bahasa Portugis dengan pendedahan penuh pengawal, pemproses, tujuan, pengekalan, hak, dan hubungan DPO
• Pemindahan rentas sempadan bergantung pada klausa kontrak standard yang diluluskan ANPD, keputusan kecukupan, BCR, atau kebenaran khusus — bukan pada logik persetujuan setiap pemindahan warisan
• Log persetujuan bertanda masa, boleh dieksport, dan dikekalkan untuk tempoh pemprosesan ditambah margin yang boleh diaudit
• Aliran kerja permintaan subjek data boleh bertindak balas dalam 15 hari dari hujung ke hujung, dalam bahasa Portugis
• DPO dilantik dan maklumat hubungan diterbitkan dalam notis privasi
• Senarai vendor telah disemak untuk keperluan, dengan vendor yang tidak digunakan atau berlebihan dibuang untuk mengurangkan permukaan pemindahan rentas sempadan
• Segmen khalayak kategori sensitif dikunci di belakang persetujuan eksplisit yang ditangkap secara berasingan

Prospek 2026

Rejim privasi Brazil telah matang dari statut yang digubal dengan baik dengan penguatkuasaan terhad kepada salah satu rejim yang lebih menuntut di Amerika. Peraturan pemindahan rentas sempadan 2026 menutup jurang struktur yang paling penting, dan pendirian penguatkuasaan ANPD telah mengejar aspirasi undang-undang. Bagi penerbit yang sudah menjalankan tindanan persetujuan gred GDPR, jurang kepada pematuhan LGPD adalah operasi berbanding seni bina: CMP dan notis berbahasa Portugis, mekanisme pemindahan yang diluluskan ANPD, kadence respons 15 hari, pelantikan DPO, dan penjagaan dengan senarai data sensitif yang lebih luas. Jurang itu boleh ditutup dalam beberapa minggu jika diprioritaskan — dan Brazil adalah pasaran tunggal terbesar di Amerika Latin, jadi keutamaan biasanya membayar balik dengan cepat. Penerbit yang menganggap Brazil sebagai pasaran sentuhan lebih ringan sepanjang 2024 mendapati 2026 jauh lebih mahal, dan mereka yang menangguhkan lebih lanjut akan mendapati 2027 lebih teruk lagi.