La LGPD (Ley General de Protección de Datos de Brasil) dice qué hacer; las resoluciones del Consejo Directivo de la ANPD dicen cómo, en cuánto tiempo y con qué documento. El 30 de octubre de 2026, la página oficial de reglamentaciones de la ANPD enumera 13 resoluciones, pero solo una parte de ellas genera trabajo para las empresas. Este mapa separa esas normas, resume lo que exige cada una en la práctica y los plazos que importan, y enumera la evidencia que usted debería poder presentar el día en que la ANPD la pida.
Si su empresa todavía está construyendo la base (inventario de datos, bases legales, encargado y flujo de incidentes), empiece por el checklist práctico de adecuación a la LGPD. Este texto parte de donde él termina: la capa de reglamentos que convierte los artículos de la ley en plazos, formularios y documentos.
Qué entra en el mapa y qué queda fuera
El 30/10/2026, la página de reglamentaciones de la ANPD enumera 13 resoluciones, ninguna marcada como derogada. Seis son instrumentos de planificación de la propia ANPD (agendas y mapas de temas) y no crean deberes para las empresas. Quedan siete con efecto directo en la operación.
Dos cambios de contexto merecen mención. La ANPD pasó a ser la Agencia Nacional de Protección de Datos con la Ley n.º 15.352/2026, que convirtió la Medida Provisoria n.º 1.317/2025. Y la agencia recibió competencias sobre el Estatuto Digital del Niño y del Adolescente (Ley n.º 15.211/2025, conocida como ECA Digital), lo que explica la revisión en curso de los reglamentos de fiscalización y de sanciones.
El mapa en una tabla
| Resolución | Tema | Qué exige en la práctica | Plazos clave |
|---|---|---|---|
| CD/ANPD n.º 15/2024 | Comunicación de incidentes de seguridad | Evaluar el riesgo, comunicar a la ANPD por formulario electrónico y a los titulares, registrar todo incidente | 3 días hábiles; complementación en 20 días hábiles; registro durante 5 años |
| CD/ANPD n.º 18/2024 | Encargado | Acto formal de designación, suplente, divulgación en el sitio web, recursos y autonomía, gestión de conflictos de interés | Presentar el acto cuando la ANPD lo pida |
| CD/ANPD n.º 2/2022 | Agentes de tratamiento de pequeño porte | Probar el encuadramiento; usar las flexibilizaciones solo si no hay tratamiento de alto riesgo | 15 días para probar el encuadramiento; plazos duplicados |
| CD/ANPD n.º 19/2024 y n.º 32/2026 | Transferencia internacional | Elegir el mecanismo del art. 33 de la LGPD, usar las cláusulas modelo sin cambios, publicar un aviso de transparencia | Cláusulas modelo incorporadas hasta agosto de 2025; texto íntegro al titular en 15 días |
| CD/ANPD n.º 1/2021 | Fiscalización y proceso sancionador | Entregar documentos y acceso, conservar registros, designar un representante, cumplir medidas preventivas | Plazos en días hábiles; defensa y recurso en 10 días hábiles |
| CD/ANPD n.º 4/2023 | Dosimetría y aplicación de sanciones | Ningún documento nuevo, pero define qué cuenta como atenuante y agravante | Los atenuantes dependen del momento en que la empresa actúa |
Comunicación de incidentes: la norma con el reloj más corto
La Resolución CD/ANPD n.º 15/2024 obliga al responsable del tratamiento (controlador) a comunicar a la ANPD y a los titulares el incidente que pueda causar riesgo o daño relevante. Según el art. 5, eso ocurre cuando el incidente puede afectar significativamente intereses y derechos fundamentales e involucra al menos uno de estos criterios: datos sensibles; datos de niños, adolescentes o personas mayores; datos financieros; datos de autenticación en sistemas; datos protegidos por secreto; o datos a gran escala.
El plazo es de tres días hábiles, contados desde que el controlador sabe que el incidente afectó datos personales (arts. 6 y 9). Lo que suele trabar es la parte formal:
- Quién firma. La comunicación la hace el encargado, con un documento que pruebe el vínculo, o un representante con poder. Esos documentos se presentan junto con la comunicación, dentro del mismo plazo (art. 6, §§ 5 y 6). Téngalos listos antes del incidente.
- Qué informar. El art. 6, § 2, enumera doce puntos, entre ellos el número de titulares afectados, las medidas de seguridad antes y después del incidente, los riesgos y la causa principal. Lo que falte puede complementarse, de forma fundamentada, en hasta 20 días hábiles.
- Cómo avisar a los titulares. De forma directa e individualizada, en lenguaje sencillo; si no es viable, mediante un aviso público visible durante al menos tres meses. Después, el controlador presenta, en hasta tres días hábiles, una declaración de que comunicó a los titulares (art. 9, § 4).
- Qué conservar. Todo incidente, comunicado o no, entra en el registro, conservado durante al menos cinco años, con la fecha de conocimiento, la evaluación de riesgo y, cuando corresponda, los motivos para no comunicar (art. 10).
La ANPD también puede pedir, en cualquier momento, el registro de las operaciones de tratamiento afectadas, la evaluación de impacto (RIPD) y el informe de tratamiento del incidente (art. 8).
Encargado: designación formal, no solo un correo en el pie de página
La Resolución CD/ANPD n.º 18/2024 exige un acto formal de designación: un documento escrito, fechado y firmado, con las formas de actuación y las actividades del encargado, que debe presentarse a la ANPD cuando lo solicite (art. 3). También exige un suplente formalmente designado (art. 4) y la divulgación de la identidad y el contacto en un lugar destacado del sitio web (art. 9).
El encargado puede ser interno, externo o una persona jurídica, sin certificación obligatoria (arts. 12 y 14). La empresa debe darle recursos, autonomía técnica y acceso directo a la alta dirección (art. 10), y evitar el conflicto de interés que surge cuando también toma decisiones estratégicas sobre el propio tratamiento (art. 19). La responsabilidad por el cumplimiento es del agente de tratamiento, no del encargado (arts. 11 y 17).
Pequeño porte: flexibilización con condiciones
La Resolución CD/ANPD n.º 2/2022 alcanza a microempresas, pequeñas empresas y startups, entre otros. Las flexibilizaciones incluyen la dispensa de designar encargado (siempre que haya un canal con el titular), un registro simplificado de las operaciones, una política simplificada de seguridad de la información y plazos duplicados, incluso para comunicar incidentes, según la redacción dada por la Resolución n.º 15/2024.
Hay tres condiciones. Primera: quien realiza tratamiento de alto riesgo, factura por encima del límite de la pequeña empresa (R$ 4,8 millones, según la Ley Complementaria n.º 123/2006) o pertenece a un grupo económico que lo supere no puede usar el régimen diferenciado (art. 3). Segunda: el alto riesgo combina un criterio general (gran escala o efecto significativo sobre derechos) con uno específico, como tecnología emergente, decisión automatizada o datos sensibles (art. 4). Tercera: la empresa debe probar el encuadramiento en hasta 15 días cuando la ANPD lo pida (art. 5).
Transferencia internacional: cláusulas modelo y transparencia
La Resolución CD/ANPD n.º 19/2024, rectificada el 18/08/2025, reglamenta los mecanismos de transferencia del art. 33 de la LGPD que dependen de la ANPD. Quien ya usaba cláusulas contractuales tenía 12 meses, contados desde la publicación el 23/08/2024, para incorporar las cláusulas modelo aprobadas por la ANPD. Ese plazo terminó en agosto de 2025. Las cláusulas modelo deben adoptarse íntegramente y sin cambios en el texto.
La norma también crea deberes de transparencia: entregar al titular, en 15 días, el texto íntegro de las cláusulas cuando lo pida, y publicar en el sitio web, en portugués, una explicación sobre la transferencia, con finalidad, país de destino, responsabilidades y derechos (art. 17). Desde enero de 2026, la Resolución CD/ANPD n.º 32/2026 reconoce a la Unión Europea, además de Islandia, Liechtenstein y Noruega, como destino con protección adecuada. Para esos destinos, la transferencia puede basarse en la decisión de adecuación, que será reevaluada en cuatro años. El caso más común son los proveedores de nube y SaaS, tema de la gestión de riesgo de proveedores.
Fiscalización y dosimetría: las reglas del juego
La Resolución CD/ANPD n.º 1/2021 enumera los deberes de quien es fiscalizado (art. 5): entregar documentos en el plazo y formato solicitados, dar acceso a sistemas e instalaciones, someterse a auditorías, conservar los registros durante los plazos legales y durante los procesos, y designar un representante con conocimiento y autonomía. Antes de la sanción, la ANPD puede usar medidas preventivas, como aviso, solicitud de regularización y plan de conformidad; no atenderlas cuenta como agravante en un eventual proceso sancionador (art. 32, § 2). La defensa y el recurso tienen diez días hábiles cada uno.
La Resolución CD/ANPD n.º 4/2023 define cómo se calcula la sanción. Para este mapa importan tres puntos: la obstrucción a la fiscalización es, por sí sola, una infracción grave (art. 8, § 3, II); atenuantes como cesar la infracción o tener una política de buenas prácticas y gobernanza dependen del momento en que la empresa actúa; y corresponde al infractor probar que cumple los requisitos del atenuante (art. 13, § 3). La evidencia organizada antes del proceso vale más que la armada durante él.
Qué está en revisión
Según la ANPD, la actualización del reglamento de fiscalización y del proceso sancionador estuvo en consulta pública hasta el 26 de octubre (ANPD), y la del reglamento de dosimetría se abrió en octubre, con contribuciones hasta el 30 de noviembre, para incluir las nuevas competencias, como las del ECA Digital (ANPD). Hasta la publicación de los textos finales, rigen las Resoluciones n.º 1/2021 y n.º 4/2023. Tampoco hay, en la lista oficial, una resolución específica sobre la evaluación de impacto (art. 38 de la LGPD), que la ANPD ya puede exigir.
Para priorizar, use la Resolución CD/ANPD n.º 30/2025, el Mapa de Temas Prioritarios 2026-2027, que orienta la fiscalización hacia los derechos de los titulares (con énfasis en datos biométricos, de salud y financieros), los niños y adolescentes, el sector público y la inteligencia artificial.
Cómo organizar la evidencia
Para cada reglamento, defina responsable, control y evidencia fechada. Un expediente mínimo:
- Incidentes: procedimiento de evaluación de riesgo con los criterios del art. 5, modelo de comunicación, documentos de representación ya firmados y registro de incidentes con cinco años de historial.
- Encargado: acto formal y del suplente, captura fechada de la divulgación en el sitio web, declaración de conflicto de interés y registro de las consultas que se le hicieron en decisiones relevantes.
- Pequeño porte: análisis de encuadramiento y de alto riesgo, revisado cada año o cuando cambie la facturación.
- Transferencias: inventario de transferencias por proveedor y país, mecanismo usado, contratos con las cláusulas modelo y la página de transparencia.
- Fiscalización: representante designado, política de retención y un índice que permita entregar documentos en el formato solicitado.
Cuando los mismos controles sirven a la LGPD, a la ISO 27001 y a normas sectoriales, conviene reutilizarlos en una base única. La guía de plataforma de GRC en Brasil muestra qué pedir a una herramienta en este escenario, y la de software GRC reúne los criterios generales de evaluación.
Dónde entra Eagle
El módulo de GRC de Eagle, de Futture, fue diseñado para centralizar frameworks, requisitos, políticas, controles, evidencias y planes de acción en un modelo reutilizable, con la posibilidad de registrar requisitos personalizados, como los de las resoluciones de la ANPD. No envía la comunicación de incidentes a la ANPD, que se hace por el formulario oficial, ni sustituye el análisis jurídico ni al encargado.
Fuentes consultadas el 30/10/2026: página de reglamentaciones de la ANPD; resoluciones citadas, en el DOU y en gov.br/anpd; LGPD, Ley n.º 15.352/2026 y Ley Complementaria n.º 123/2006, en el sitio del Planalto; noticias de la ANPD sobre las consultas públicas. Este artículo tiene fines informativos y no constituye asesoramiento jurídico; consulte el texto oficial de las normas.
Preguntas frecuentes
¿Cuál es el plazo para comunicar un incidente de seguridad a la ANPD?
Tres días hábiles, contados desde que el controlador sabe que el incidente afectó datos personales, cuando pueda causar riesgo o daño relevante a los titulares (Resolución CD/ANPD n.º 15/2024). El mismo plazo rige para avisar a los titulares. La información puede complementarse en hasta 20 días hábiles. Los agentes de tratamiento de pequeño porte tienen el plazo duplicado, siempre que se encuadren en la Resolución CD/ANPD n.º 2/2022.
¿La designación del encargado requiere un documento formal?
Sí. La Resolución CD/ANPD n.º 18/2024 exige un acto formal, escrito, fechado y firmado, con las formas de actuación y las actividades del encargado, que debe presentarse a la ANPD cuando lo solicite. La norma también exige un suplente formalmente designado y la divulgación de la identidad y el contacto del encargado en un lugar destacado del sitio web.
¿Todavía puedo usar cláusulas contractuales propias en transferencias internacionales?
Quien usaba cláusulas contractuales tenía hasta agosto de 2025, 12 meses después de la publicación de la Resolución CD/ANPD n.º 19/2024, para incorporar las cláusulas modelo aprobadas por la ANPD, que deben adoptarse sin cambios. Las cláusulas específicas distintas de las modelo dependen de la aprobación de la ANPD. Para la Unión Europea, Islandia, Liechtenstein y Noruega, la Resolución CD/ANPD n.º 32/2026 permite basarse en la decisión de adecuación.
¿Van a cambiar las reglas de fiscalización y de multas de la ANPD?
Están en revisión. La actualización del reglamento de fiscalización y del proceso sancionador pasó por consulta pública hasta el 26 de octubre de 2026, y la del reglamento de dosimetría recibe contribuciones hasta el 30 de noviembre de 2026, para incluir competencias como las del ECA Digital. Hasta la publicación de los nuevos textos, rigen las Resoluciones CD/ANPD n.º 1/2021 y n.º 4/2023.
Referencias oficiales
- Reglamentaciones de la ANPD (página oficial)
- Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
- Ley n.º 15.352/2026 — Agencia Nacional de Protección de Datos
- Resolución CD/ANPD n.º 1/2021 — Reglamento del Proceso de Fiscalización y del Proceso Administrativo Sancionador
- Resolución CD/ANPD n.º 2/2022 — Agentes de tratamiento de pequeño porte
- Resolución CD/ANPD n.º 4/2023 — Reglamento de Dosimetría y Aplicación de Sanciones Administrativas
- Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad
- Resolución CD/ANPD n.º 18/2024 — Reglamento sobre la actuación del encargado
- Resolución CD/ANPD n.º 19/2024 — Reglamento de Transferencia Internacional de Datos
- Resolución CD/ANPD n.º 30/2025 — Mapa de Temas Prioritarios 2026-2027
- Resolución CD/ANPD n.º 32/2026 — Adecuación de la Unión Europea
- ANPD — consulta pública sobre el Reglamento de Dosimetría (15/10/2026)
- ANPD — El ECA Digital cumple un año (consulta del reglamento de fiscalización)
- Ley Complementaria n.º 123/2006 — art. 3 (límites de ingresos)