Adecuarse a la LGPD es el proceso de alinear la forma en que su empresa recopila, usa, almacena y elimina datos personales con las reglas de la Ley n.º 13.709/2018, la Ley General de Protección de Datos de Brasil (LGPD). En la práctica, se resume en cuatro movimientos: saber qué datos tiene, justificar cada tratamiento con una base legal, designar a quien responde por el tema y estar preparado para reaccionar ante incidentes y solicitudes de los titulares.
El problema es que muchas organizaciones todavía lo tratan como un proyecto con fecha de cierre, con hojas de cálculo dispersas entre el área jurídica, TI y seguridad. Cuando ocurre un incidente o la ANPD llama a la puerta, falta trazabilidad. Esta lista de verificación traduce las obligaciones de la ley en pasos concretos, desde el mapeo de datos hasta la notificación de incidentes, y muestra dónde la privacidad se conecta con su programa de riesgos.
Panorama de las obligaciones de la LGPD para empresas que operan en Brasil
La LGPD se aplica a cualquier organización, pública o privada y de cualquier tamaño o sector, que trate datos personales en Brasil, ofrezca bienes o servicios a personas ubicadas en el país o trate datos recopilados allí (art. 3), con excepciones puntuales previstas en el art. 4. Define funciones (responsable, encargado del tratamiento y encargado de protección de datos —el encarregado de la ley—), exige una base legal para todo tratamiento y garantiza derechos a los titulares, como el acceso, la rectificación y la eliminación de sus datos (art. 18).
El costo de ignorar estas obligaciones ha aumentado. Según el informe Cost of a Data Breach de IBM, el costo medio de una filtración de datos en Brasil alcanzó R$ 7,19 millones en 2025, un 6,5% más que los R$ 6,75 millones de 2024, según lo divulgado por IBM. El mismo estudio señala que el sector de la salud registró el costo medio más alto, R$ 11,43 millones, seguido por finanzas (R$ 8,92 millones) y servicios (R$ 8,51 millones). Para el directorio, esta es la traducción directa del riesgo técnico en impacto financiero.
Las principales obligaciones que una empresa debe poder demostrar son:
- Base legal para cada tratamiento, entre las diez hipótesis del art. 7.
- Transparencia sobre las finalidades y las comunicaciones de datos a terceros.
- Atención a los derechos de los titulares en los plazos legales; la declaración completa de acceso a los datos, por ejemplo, debe entregarse en un máximo de 15 días (art. 19).
- Registro de las operaciones de tratamiento (art. 37).
- Designación de un encargado de protección de datos y publicación de su contacto (art. 41).
- Respuesta a incidentes, con comunicación a la ANPD y a los titulares cuando exista un riesgo o daño relevante (art. 48).
Lista de verificación para adecuarse a la LGPD: mapeo de datos, bases legales y DPO
El camino de la adecuación a la LGPD empieza con visibilidad y termina con gobernanza. Use esta lista como una secuencia de trabajo, no como algo que se marca una vez y se olvida.
1. Mapee los datos (data mapping)
Releve todos los flujos de datos personales: qué recopila, de quién, con qué finalidad, dónde los almacena, con quién los comparte y durante cuánto tiempo los conserva. Este inventario alimenta el registro de las operaciones de tratamiento exigido por el art. 37 y es la base de la Evaluación de Impacto relativa a la Protección de Datos (RIPD, por su sigla en portugués), que la ANPD puede exigir (art. 38).
2. Defina la base legal de cada tratamiento
Ningún dato personal puede tratarse sin una de las diez bases legales del art. 7; para los datos sensibles rigen las hipótesis más restrictivas del art. 11. En el ámbito corporativo, las más frecuentes son el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo. Documente la base elegida para cada finalidad: esa justificación es lo que presentará en una fiscalización.
3. Designe al encargado de protección de datos (DPO)
La ley determina que el responsable del tratamiento designe un encargado de protección de datos, con su identidad y contacto publicados (art. 41). Este atiende a los titulares, dialoga con la ANPD y orienta a la organización. La ANPD ya abrió fiscalizaciones a grandes empresas que no informaban el contacto del encargado o mantenían canales de atención ineficaces, así que no es una formalidad opcional.
4. Ajuste contratos y terceros
Los encargados del tratamiento y los proveedores que acceden a datos personales necesitan cláusulas contractuales que distribuyan responsabilidades y exijan estándares mínimos de seguridad. La gestión de riesgos de terceros forma parte del cumplimiento, no es un anexo.
5. Implemente controles de seguridad y gobernanza
El cifrado, el control de acceso, el registro de logs y las políticas internas sostienen el principio de seguridad de la LGPD. El aspecto económico refuerza la prioridad: el mismo informe de IBM citado arriba muestra que solo el 29% de las organizaciones estudiadas en Brasil utiliza tecnología de gobernanza de IA, y que las que adoptaron ampliamente IA y automatización de seguridad tuvieron un costo medio de filtración de R$ 6,48 millones, alrededor de un 26% menos que las que no usan esas tecnologías (R$ 8,78 millones).
Cómo gestionar incidentes y notificar a la ANPD dentro del plazo
Cuando ocurre un incidente de seguridad con datos personales, el reloj empieza a correr. Según la Resolución CD/ANPD n.º 15/2024, la comunicación a la ANPD y a los titulares afectados debe realizarse en un plazo de 3 días hábiles, contados desde que el responsable tiene conocimiento de que el incidente afectó datos personales (arts. 6 y 9), salvo que una legislación específica prevea otro plazo, de acuerdo con la orientación oficial publicada por la ANPD. Los agentes de tratamiento de pequeño porte tienen el doble de plazo, (Resolución CD/ANPD n.º 2/2022, art. 14, II, con la redacción dada por la Resolución CD/ANPD n.º 15/2024). La redacción original de ese inciso traía una excepción para casos con potencial compromiso de la integridad física o moral de los titulares o de la seguridad nacional; la Resolución 15/2024 la retiró.
La obligación de comunicar surge cuando se suman tres criterios: el incidente está confirmado, involucra datos personales sujetos a la LGPD y puede acarrear un riesgo o daño relevante para los titulares. La comunicación al titular debe usar un lenguaje sencillo e informar la naturaleza de los datos afectados, las medidas de seguridad adoptadas, los riesgos involucrados y los contactos para obtener aclaraciones.
Un flujo de respuesta ágil suele seguir estos pasos:
- Detectar y contener el incidente, preservando las evidencias.
- Evaluar el riesgo para los titulares y decidir si la comunicación es obligatoria.
- Comunicar a la ANPD y a los titulares dentro del plazo de 3 días hábiles.
- Documentarlo todo, desde la cronología hasta las acciones de mitigación.
- Complementar la información: si la comunicación inicial fue preliminar, el complemento debe enviarse a la ANPD en un plazo de 20 días hábiles.
La diferencia entre una respuesta tranquila y una crisis suele estar en la preparación previa al incidente: funciones definidas, un playbook listo y evidencias ya organizadas.
Integración de la privacidad en el programa de riesgos y cumplimiento
La adecuación a la LGPD rinde más cuando deja de ser un silo jurídico y empieza a dialogar con el programa corporativo de riesgos. Buena parte de los controles que usted implementa para la LGPD, como la gestión de accesos, el cifrado y la respuesta a incidentes, también los exigen la ISO 27001, el SOC 2 y el NIST CSF. Mantener inventarios separados por norma genera retrabajo y brechas de trazabilidad.
Esa es precisamente la lógica de un inventario único de controles: cada control se implementa una vez y se reutiliza entre marcos de referencia, con evidencias vinculadas al riesgo que mitigan. Es el modelo que Futture aplica en Eagle, su plataforma de Enterprise Risk Intelligence, que conecta riesgos, controles, proveedores y exposición en una visión única, con la decisión siempre en manos de personas. Si está estructurando el tema con apoyo tecnológico, vale la pena conocer cómo elegir una herramienta de cumplimiento con IA en Brasil.
En la práctica, integrar la privacidad en la gestión de riesgos significa:
- Clasificar los tratamientos de datos según la criticidad del riesgo, no por orden de llegada.
- Reutilizar las evidencias de auditoría entre la LGPD, la ISO 27001 y el SOC 2.
- Llevar al directorio una visión de la exposición en lenguaje de negocio, con impacto financiero.
- Monitorear de forma continua, en lugar de revisar el cumplimiento solo en la víspera de la auditoría.
Errores comunes que generan sanciones y cómo evitarlos
La mayoría de los incumplimientos no nace de la mala fe, sino de brechas operativas que se acumulan. Los errores más frecuentes se evitan con disciplina de proceso.
- Tratar la adecuación como un proyecto puntual. El cumplimiento es continuo; los datos, los proveedores y las finalidades cambian todo el tiempo.
- Recopilar datos sin una base legal clara. Pedir consentimiento cuando la base correcta sería un contrato o una obligación legal genera fragilidad jurídica.
- No tener un encargado efectivo. Designar a alguien solo en el papel, sin un canal de atención al titular, no cumple la ley.
- Ignorar el plazo de notificación. Perder los 3 días hábiles de la Resolución CD/ANPD n.º 15/2024 agrava la exposición ante la ANPD.
- Olvidarse de los terceros. Los proveedores con acceso a datos sin cláusulas adecuadas transfieren riesgo al responsable.
- No documentar. Sin evidencia de que el control existe y funciona, el cumplimiento es indefendible en una fiscalización.
Evitar estos errores depende menos de una herramienta mágica y más de la trazabilidad: cada decisión de tratamiento, cada control y cada evidencia necesitan un responsable, una fecha y una justificación.
Próximo paso
Elija un único flujo de datos crítico, por ejemplo el registro de clientes o la nómina, y aplique la lista completa sobre él esta semana: mapee los datos, confirme la base legal, verifique quién responde por el tratamiento y pruebe si podría notificar a la ANPD en 3 días hábiles. Este piloto revela dónde están sus brechas reales y le da el modelo para extender la adecuación al resto de la organización sin depender de hojas de cálculo aisladas.
Para profundizar: Reglamentos de la ANPD: el mapa de lo que su empresa debe cumplir.
Preguntas frecuentes
¿Qué significa adecuarse a la LGPD en la práctica?
Significa estructurar procesos, documentación y controles para tratar datos personales conforme a la Ley n.º 13.709/2018, la Ley General de Protección de Datos de Brasil: mapear los datos, definir una base legal para cada tratamiento, designar al encargado de protección de datos (DPO) y mantener la capacidad de responder a incidentes y a solicitudes de los titulares.
¿Cuál es el plazo para notificar a la ANPD tras un incidente de seguridad?
Según la Resolución CD/ANPD n.º 15/2024, la comunicación a la ANPD y a los titulares debe realizarse en un plazo de 3 días hábiles contados desde que el responsable del tratamiento tiene conocimiento de que el incidente afectó datos personales, cuando el incidente pueda acarrear un riesgo o daño relevante para los titulares. Los agentes de tratamiento de pequeño porte tienen el doble de plazo (Resolución CD/ANPD n.º 2/2022, art. 14, II, con la redacción dada por la Resolución CD/ANPD n.º 15/2024).
¿Toda empresa necesita un encargado de protección de datos (DPO)?
La LGPD exige que el responsable del tratamiento designe un encargado de protección de datos y publique su identidad y datos de contacto (art. 41). La Resolución CD/ANPD n.º 2/2022 exime de esa designación a los agentes de tratamiento de pequeño porte, siempre que mantengan un canal de comunicación con el titular; la exención no se aplica, por ejemplo, a quienes realizan tratamientos de alto riesgo o superan los límites de ingresos del reglamento.
¿Cuáles son las bases legales más utilizadas por las empresas?
Entre las diez bases legales del art. 7, las más comunes en el ámbito corporativo son el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo del responsable.
Referencias oficiales
- Ley n.º 13.709/2018 — Ley General de Protección de Datos de Brasil (LGPD) — Planalto
- Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad — Diario Oficial de Brasil
- Resolución CD/ANPD n.º 2/2022 — Reglamento para agentes de tratamiento de pequeño porte — Diario Oficial de Brasil
- ANPD — Comunicación de Incidente de Seguridad (CIS)
- IBM — El costo medio de una filtración de datos en Brasil alcanza R$ 7,19 millones (Cost of a Data Breach 2025)