Respuesta rápida
La LGPD puede aplicarse a una empresa de Estados Unidos aunque no tenga una entidad jurídica en Brasil. El análisis debe partir del Art. 3 y de los hechos: si el tratamiento está relacionado con la oferta o suministro de bienes o servicios a personas ubicadas en Brasil, si se tratan datos de personas localizadas en Brasil o si los datos fueron recolectados en Brasil. La nacionalidad del titular no es el criterio central.
Puntos clave
- No existe una exención general para empresas extranjeras.
- Un sitio en inglés puede quedar dentro del alcance si la actividad está dirigida a personas en Brasil.
- Tener un proveedor brasileño no es lo mismo que estar automáticamente sujeto a toda la LGPD.
- El análisis territorial debe documentarse por producto, proceso y flujo de datos.
- Si la LGPD aplica, también deben revisarse bases legales, transparencia, derechos, proveedores, seguridad y transferencias.
Qué significa en la práctica
La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.
Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.
Cómo implementar este tema
- Paso 1. Mapee usuarios y clientes ubicados en Brasil.
- Paso 2. Identifique qué servicios están realmente disponibles para el mercado brasileño.
- Paso 3. Registre dónde se recogen los datos y desde qué países se accede a ellos.
- Paso 4. Revise contratos con SaaS, cloud, analítica y marketing.
- Paso 5. Documente la conclusión de alcance y los hechos que la sustentan.
Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.
Errores comunes
- Suponer que la LGPD solo se aplica a empresas brasileñas.
- Usar únicamente la nacionalidad del usuario como criterio.
- Ignorar el tratamiento realizado por proveedores extranjeros.
- Publicar una política de privacidad brasileña sin haber mapeado el tratamiento real.
Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.
Qué debería documentar
| # | Registro | Evidencia mínima |
|---|---|---|
| 1 | Evaluación de aplicabilidad | Conserve owner, fecha, evidencia y criterio de revisión. |
| 2 | Mapa de datos | Conserve owner, fecha, evidencia y criterio de revisión. |
| 3 | Registro de operaciones/ROPA | Conserve owner, fecha, evidencia y criterio de revisión. |
| 4 | Inventario de proveedores | Conserve owner, fecha, evidencia y criterio de revisión. |
| 5 | Registro de transferencias internacionales | Conserve owner, fecha, evidencia y criterio de revisión. |
Relación con otras obligaciones LGPD
Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.
Preguntas frecuentes
¿Necesito una empresa en Brasil para que se aplique la LGPD?
No necesariamente. El Art. 3 contiene criterios territoriales que pueden alcanzar operaciones extranjeras.
¿Un sitio web estadounidense entra automáticamente en la LGPD?
No. Debe analizarse la actividad concreta y su relación con personas y operaciones en Brasil.
¿La LGPD solo protege a ciudadanos brasileños?
No. El análisis se centra en la ubicación y el contexto del tratamiento, no únicamente en la ciudadanía.
Fuentes oficiales principales
Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.
Convierta esta guía en un proceso repetible
El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.
Obtener el Manual · $47