Il quadro giuridico
La legge generale sulla protezione dei dati personali (legge 13.709/2018), in vigore dal settembre 2020 e con sanzioni dall'agosto 2021, si applica a qualsiasi trattamento di dati in Brasile o rivolto a persone in Brasile, anche da parte delle piattaforme straniere: basi giuridiche (consenso, esecuzione del contratto, interesse legittimo e altre), principi (finalità, necessità, trasparenza, sicurezza), diritti degli interessati (conferma, accesso, rettifica, anonimizzazione, cancellazione, portabilità, informazione sulla condivisione, revoca del consenso), protezione rafforzata dei dati sensibili — origine, religione, opinione politica, salute, vita sessuale, dati genetici e biometrici —, consenso specifico di un genitore per i dati dei bambini di meno di 12 anni e trattamento nel migliore interesse degli adolescenti, responsabile (DPO) obbligatorio, notifica delle violazioni all'ANPD e agli interessati, e sanzioni — ammonimento, multa fino al 2 % del fatturato in Brasile limitata a 50 milioni di real per infrazione, blocco o cancellazione dei dati. L'Autorità nazionale per la protezione dei dati (ANPD), ente indipendente dal 2022, regolamenta (dosimetria delle sanzioni nel 2023, trasferimenti internazionali nel 2024, dati dei minori) e sanziona; l'Emendamento costituzionale 115/2022 ha inscritto la protezione dei dati tra i diritti fondamentali; il Marco Civil da Internet (2014) e il Codice di difesa del consumatore completano. La condivisione non consensuale di immagini intime è un reato (legge 13.718/2018) e la vittima può esigere la rimozione dalle piattaforme senza decisione giudiziaria (Marco Civil, articolo 21). Il Brasile non beneficia di una decisione di adeguatezza dell'Unione europea.
I punti chiave
| Testo | LGPD (legge 13.709/2018), in vigore dal 2020, sanzioni dal 2021; diritto fondamentale dal 2022 |
|---|---|
| Autorità | ANPD — Autorità nazionale per la protezione dei dati: regolamentazione, vigilanza, sanzioni |
| Diritti | Accesso, rettifica, anonimizzazione, cancellazione, portabilità, informazione sulla condivisione, revoca |
| Dati sensibili | Origine, religione, opinione, salute, vita sessuale, genetici, biometrici: consenso specifico |
| Minori | Consenso di un genitore sotto i 12 anni; migliore interesse per gli adolescenti |
| Sanzioni | Ammonimento; multa fino al 2 % del fatturato, 50 milioni di real per infrazione; blocco |
| Immagini intime | Reato (legge 13.718/2018); rimozione da parte delle piattaforme su richiesta della vittima (Marco Civil) |
In pratica
- Un utente chiede al sito o all'app (canale del responsabile, obbligatorio) l'accesso, la rettifica o la cancellazione dei suoi dati; la risposta è dovuta in 15 giorni per l'accesso completo; senza risposta, petizione all'ANPD (online) o reclamo al Procon e a consumidor.gov.br.
- In caso di fuga di dati, l'impresa deve notificare l'ANPD e gli interessati in un termine ragionevole (tre giorni lavorativi secondo il regolamento del 2024); la vittima può chiedere un risarcimento al juizado especial cível, senza avvocato fino a 20 salari minimi.
- La condivisione non consensuale di immagini intime si denuncia alla Delegacia de Crimes Cibernéticos e la vittima esige la rimozione direttamente alla piattaforma, che deve agire senza decisione giudiziaria; la SaferNet aiuta.
- I genitori di un bambino di meno di 12 anni possono esigere la cancellazione di un account aperto senza il loro consenso; le piattaforme devono verificare l'età in modo proporzionato.
- Le grandi fughe di dati (Serasa, ministeri, operatori) sono frequenti: verificare gli account, attivare l'autenticazione a due fattori e monitorare il CPF (Registrato della Banca centrale) limita i danni. Un italiano che usa un servizio brasiliano ha i diritti della LGPD; il trasferimento di dati dall'Unione europea al Brasile richiede clausole contrattuali, in assenza di decisione di adeguatezza.
Costi e copertura
L'esercizio dei diritti, la petizione all'ANPD e il reclamo al Procon sono gratuiti; il juizado especial cível è gratuito in primo grado; le multe dell'ANPD sono cominciate nel 2023 (Telekall, Ministero della Salute, INSS e altri).
Cambiamenti recenti
L'ANPD ha applicato le prime multe nel 2023 e ha regolamentato nel 2024 i trasferimenti internazionali e la comunicazione degli incidenti; l'Emendamento 115/2022 ha elevato la protezione dei dati a diritto fondamentale; l'ANPD ha sospeso nel 2024 l'uso dei dati dei brasiliani da parte di Meta per addestrare la sua intelligenza artificiale, prima di autorizzarlo con condizioni; il Supremo ha confermato la protezione dei dati come diritto autonomo (2020).
A chi rivolgersi
- ANPD — Autorità nazionale per la protezione dei dati (gov.br/anpd): petizioni, regolamenti.
- Procon e consumidor.gov.br per le controversie di consumo; juizados especiais cíveis.
- SaferNet Brasil e Delegacias de Crimes Cibernéticos per le immagini intime e i reati.
Da sapere
La LGPD è ambiziosa e l'ANPD giovane: le multe sono rare e basse rispetto a quelle europee, e le fughe di dati massive — decine di milioni di CPF — sono routine. I diritti più efficaci si esercitano presso l'impresa e nei juizados especiais, gratuiti; e la condivisione di immagini intime ha un rimedio rapido che poche vittime conoscono: la rimozione diretta da parte della piattaforma, senza giudice.
Fonti e link ufficiali
- Legge 13.709/2018 — LGPD (testo consolidato) — Planalto
- ANPD — Autorità nazionale per la protezione dei dati — regolamenti, petizioni, sanzioni
- Marco Civil da Internet — legge 12.965/2014 — Planalto
Link verificati verso fonti ufficiali o di riferimento. Si aprono in una nuova scheda.