Respuesta rápida
La LGPD no exige que toda empresa privada publique un documento con el título exacto 'Política de Privacidad'. Sí exige transparencia e información clara. El Art. 9 contiene elementos relevantes como finalidad, forma y duración, identidad y contacto del controlador, uso compartido, responsabilidades y derechos.
Puntos clave
- El título del documento importa menos que su contenido real.
- La política debe coincidir con el tratamiento efectivo.
- Las bases legales deben documentarse internamente aunque no sean un campo mínimo literal del Art. 9.
- Cookies y transferencias pueden necesitar capas adicionales de transparencia.
- El canal para derechos debe ser utilizable.
Qué significa en la práctica
La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.
Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.
Cómo implementar este tema
- Paso 1. Mapee primero los tratamientos visibles y ocultos.
- Paso 2. Identifique controlador y contacto.
- Paso 3. Explique finalidades por categoría.
- Paso 4. Describa terceros y transferencias con precisión útil.
- Paso 5. Incluya derechos y canal de solicitud.
Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.
Errores comunes
- Copiar una política genérica.
- Declarar que no se comparten datos cuando existen vendors.
- Omitir pixels y SDKs.
- Prometer eliminación inmediata en todos los casos.
Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.
Qué debería documentar
| # | Registro | Evidencia mínima |
|---|---|---|
| 1 | Privacy Notice Framework | Conserve owner, fecha, evidencia y criterio de revisión. |
| 2 | Mapa de datos | Conserve owner, fecha, evidencia y criterio de revisión. |
| 3 | Lista de proveedores | Conserve owner, fecha, evidencia y criterio de revisión. |
| 4 | Registro de transferencias | Conserve owner, fecha, evidencia y criterio de revisión. |
| 5 | Canal de derechos | Conserve owner, fecha, evidencia y criterio de revisión. |
Relación con otras obligaciones LGPD
Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.
Preguntas frecuentes
¿La LGPD obliga a usar el título 'Política de Privacidad'?
No de forma universal. Lo central son los deberes de transparencia e información.
¿Debo publicar todas las bases legales?
La publicación puede ser buena práctica, pero el Art. 9 no las enumera como elemento mínimo literal para todo caso.
¿Una política en inglés basta para toda situación?
No necesariamente, especialmente cuando existen obligaciones específicas de transparencia en portugués para determinadas transferencias.
Fuentes oficiales principales
Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.
Convierta esta guía en un proceso repetible
El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.
Obtener el Manual · $47