Política de privacidad del sitio web: qué pide la LGPD en Brasil

La LGPD (Lei Geral de Proteção de Dados, la ley de protección de datos de Brasil) no usa la expresión "política de privacidad", pero exige que el titular tenga acceso fácil, claro y ostensivo a siete datos sobre el tratamiento de su información (art. 9º): finalidad específica, forma y duración, quién es el controlador, cómo contactarlo, con quién se comparten los datos y para qué, responsabilidades de los agentes y los derechos del art. 18. La identidad y el contacto del encarregado (la persona designada como canal de comunicación sobre datos personales) también tienen que ser públicos (art. 41, § 1º); los agentes de pequeño tamaño pueden no tener encarregado, pero necesitan un canal de atención al titular (Resolución CD/ANPD nº 2/2022, art. 11). La política del sitio es el lugar más habitual para reunir todo eso, con un enlace en el pie de todas las páginas y en los puntos de recogida. Tiene que describir lo que el sitio hace de verdad, incluidas las cookies y los scripts de terceros, y actualizarse cuando algo cambia.

Este texto explica la LGPD y las normas y guías de la ANPD a partir de las fuentes listadas al final, consultadas el 26 de octubre de 2026. Las citas de la ley y de las guías son traducciones del portugués. No es asesoramiento jurídico ni un modelo de política: el contenido depende de los datos que trata cada sitio, y la redacción final corresponde al controlador y a su equipo jurídico.

Política de privacidad, aviso de privacidad: ¿importa el nombre?

No. La LGPD (Ley nº 13.709/2018) habla de un derecho de acceso a la información, no de un documento con un nombre fijo. La guía de cookies de la ANPD usa "Aviso de Privacidad (o 'Política de Privacidad')" para la declaración pública del agente sobre el tratamiento de datos en general (p. 29). Este texto usa "política de privacidad" porque es el nombre más común en los sitios.

Algunos términos aparecen todo el tiempo, todos definidos en el art. 5º de la ley: titular es la persona a la que se refieren los datos; controlador es quien decide sobre el tratamiento; operador es quien trata datos en nombre del controlador; encarregado es la persona designada para ser el canal entre el controlador, los titulares y la ANPD (Agência Nacional de Proteção de Dados, el regulador brasileño).

Qué manda informar la LGPD

El art. 9º dice que el titular tiene derecho al acceso facilitado a la información sobre el tratamiento, presentada "de forma clara, adecuada y ostensiva". La tabla muestra cada punto y lo que suele significar en un sitio.

El mismo artículo tiene tres reglas que afectan a la redacción:

• Si el consentimiento se pide con información engañosa o abusiva, o sin transparencia previa, es nulo (§ 1º).

• Si la finalidad cambia de forma incompatible con el consentimiento original, el controlador avisa antes, y el titular puede revocarlo (§ 2º).

• Cuando el tratamiento es condición para ofrecer un producto, un servicio o un derecho, hay que informarlo con destaque, junto con la forma de ejercer los derechos (§ 3º).

Quien usa el interés legítimo como base también tiene que dar transparencia al tratamiento (art. 10, § 2º). En la práctica, la política es donde el titular se entera de que ese tratamiento existe y de cómo oponerse.

Los derechos del titular y cómo atenderlos

El art. 18 enumera lo que el titular puede pedir al controlador, en cualquier momento:

1. confirmación de que existe tratamiento;

2. acceso a los datos;

3. corrección de datos incompletos, inexactos o desactualizados;

4. anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados sin cumplir la ley;

5. portabilidad a otro proveedor, según la reglamentación de la ANPD;

6. eliminación de los datos tratados con consentimiento, salvo las excepciones del art. 16;

7. información sobre las entidades públicas y privadas con las que el controlador compartió datos;

8. información sobre la posibilidad de no consentir y las consecuencias de la negativa;

9. revocación del consentimiento.

El mismo artículo garantiza el derecho a oponerse a un tratamiento hecho sin consentimiento cuando no se cumple la ley (§ 2º) y el de presentar una petición contra el controlador ante la ANPD (§ 1º). El art. 20 da derecho a pedir la revisión de decisiones tomadas solo con base en un tratamiento automatizado, lo que importa si el sitio toma decisiones automáticas que afectan a la persona, como la aprobación de un crédito.

Plazos: la confirmación de existencia o el acceso pueden darse en formato simplificado, de inmediato, o mediante una declaración clara y completa en un plazo de hasta 15 días desde la solicitud (art. 19). Los agentes de pequeño tamaño tienen el doble de plazo para atender las solicitudes del art. 18, §§ 3º y 5º, y hasta 15 días para la declaración simplificada (Resolución CD/ANPD nº 2/2022, arts. 14 y 15). La política no tiene que repetir la ley entera, pero sí decir por qué canal entra la solicitud.

Encarregado o canal de atención

La LGPD obliga al controlador a designar un encarregado y a divulgar públicamente su identidad y su contacto, "de forma clara y objetiva, preferentemente en el sitio electrónico del controlador" (art. 41, § 1º). Entre las actividades del encarregado están aceptar reclamaciones y comunicaciones de los titulares y recibir comunicaciones de la ANPD (art. 41, § 2º).

La Resolución CD/ANPD nº 18, de 16 de julio de 2024, detalló esa divulgación. Según la guía de la ANPD sobre la actuación del encarregado (diciembre de 2024, pp. 18 a 20):

• La identidad es, como mínimo, el nombre completo, si el encarregado es una persona natural. Si es una persona jurídica, el nombre empresarial o comercial y el nombre completo de la persona natural responsable.

• El contacto debe permitir que el titular ejerza sus derechos y que la ANPD envíe comunicaciones. El correo y el teléfono son los más comunes, pero sirven otros medios si la comunicación es efectiva.

• La divulgación debe hacerse en el sitio del controlador (art. 9º del reglamento), actualizada y en un lugar destacado y de fácil acceso.

• Un correo como encarregado@empresa.com.br por sí solo no basta: en el ejemplo 7 de la guía, la ANPD dice que la dirección es información de contacto y no identifica al encarregado.

Cuándo el sitio puede no tener encarregado

La Resolución CD/ANPD nº 2, de 27 de enero de 2022, dice que los agentes de tratamiento de pequeño tamaño no están obligados a designar encarregado (art. 11). Entran en esa categoría las microempresas, las empresas de pequeño tamaño, las startups, las personas jurídicas de derecho privado (incluidas las sin ánimo de lucro), las personas naturales y los entes sin personalidad jurídica que tratan datos (art. 2º, I).

La dispensa tiene condiciones:

• Quien no designe encarregado debe ofrecer un canal de comunicación con el titular (art. 11, § 1º). Ese canal es lo que va en la política en lugar del encarregado.

• La dispensa no vale para quien hace un tratamiento de alto riesgo, tiene ingresos brutos por encima del límite de la Ley Complementaria nº 123/2006 (o de la Ley Complementaria nº 182/2021, para startups) o pertenece a un grupo económico cuyos ingresos globales superen esos límites (art. 3º).

• El alto riesgo exige al menos un criterio general (gran escala o tratamiento que pueda afectar significativamente a derechos) y uno específico, como el uso de tecnología emergente, decisiones solo automatizadas, o datos sensibles o de niños, adolescentes y personas mayores (art. 4º).

• Designar encarregado aunque no sea obligatorio cuenta como buena práctica de gobernanza (art. 11, § 2º).

Cookies: sección en la política o política aparte

La guía de cookies de la ANPD (pp. 28 y 29) recomienda una política de cookies con las finalidades específicas, el plazo de retención y el uso compartido con terceros, y acepta tres formatos: una sección de la política de privacidad, una página aparte o las capas del propio banner. Todos valen, siempre que contengan la información esencial.

En el ejemplo 7 de la guía, una asesoría contable pone la política de cookies dentro de la política de privacidad. La ANPD dice que es legítimo, preferentemente con acceso facilitado a la sección (pestaña, barra lateral o índice al principio), pero que puede no bastar, porque no todos los visitantes abren la política. Por eso recomienda que la información también aparezca en cuanto la persona entra en el sitio, en el segundo nivel del banner. La guía sobre LGPD, cookies y consentimiento detalla el banner.

Los píxeles publicitarios, los analytics y los grabadores de sesión envían datos a terceros y entran en el art. 9º, V. El artículo Píxeles y scripts de terceros: qué datos salen de tu sitio muestra qué recoge cada uno y qué hay que declarar.

Transferencia internacional en la política

Si el sitio usa proveedores en el extranjero y transfiere datos con base en las cláusulas contractuales tipo de la ANPD, la Resolución CD/ANPD nº 19/2024 obliga a publicar en el sitio un documento en portugués, en lenguaje sencillo, con la forma, la duración y la finalidad de la transferencia, el país de destino, la identificación y el contacto del controlador, el uso compartido, las responsabilidades y las medidas de seguridad, y los derechos del titular con un canal de fácil acceso (art. 17, § 2º, del reglamento). Ese documento puede ser una página propia o una parte destacada de la política de privacidad (§ 3º). La misma exigencia vale para quien transfiere con cláusulas específicas o normas corporativas globales aprobadas por la ANPD (art. 32).

Cómo escribirla para que se lea

La ley pide información "clara, precisa y fácilmente accesible" (principio de transparencia, art. 6º, VI). Las recomendaciones siguientes son de este texto, elaboradas a partir de esa exigencia:

1. Empieza por el inventario, no por el texto. Enumera los puntos de recogida del sitio (formularios, registro, checkout, newsletter, chat, cookies y scripts) y, para cada uno, los datos, la finalidad, la base legal, el plazo de conservación y quién los recibe.

2. Organiza por situación, no por artículo de la ley. Secciones como "cuando compras", "cuando te suscribes a la newsletter" y "cuando navegas por el sitio" se leen mejor que una lista única de datos.

3. Expresa la finalidad con verbo y objeto. "Enviar la factura y el código de seguimiento" informa; "optimizar la experiencia" no.

4. Indica el plazo de conservación. Cuando viene de otra ley, como la conservación de documentos fiscales, di cuál. Cuando no haya un plazo fijo, explica el criterio.

5. Nombra a los terceros o al menos las categorías, con la finalidad de cada una. El titular tiene derecho a saber con quién se compartieron los datos (art. 18, VII).

6. Usa frases cortas, segunda persona y portugués. Los términos técnicos (cookie, píxel, operador) llevan una explicación la primera vez.

7. Usa capas. Un resumen al principio con los puntos principales y enlaces a las secciones completas ayuda a quien solo quiere una visión general.

8. Deja claro cómo ejercer los derechos: canal, qué indicar en la solicitud y plazo de respuesta.

Dónde poner el enlace

La ley habla de acceso facilitado e información ostensiva (art. 9º); no dice dónde poner el enlace. Los lugares siguientes son recomendaciones, con la base de cada una:

• Pie de todas las páginas. Es donde la gente lo busca y cumple con el acceso facilitado.

• Banner de cookies. La guía de la ANPD recomienda en el primer nivel un enlace de fácil acceso para que el titular ejerza sus derechos (p. 31).

• Puntos de recogida. Formularios de contacto, registro, newsletter y checkout, cerca del botón de envío. Es el momento en que se recoge el dato.

• Página de contacto o de privacidad con la identidad y el contacto del encarregado, o el canal de atención, en un lugar destacado, como pide la Resolución CD/ANPD nº 18/2024.

• Aplicación, si la hay: en la configuración y en la página de la tienda de aplicaciones.

Actualización y control de versiones

La LGPD tiene dos reglas sobre los cambios. Si cambian la finalidad, la forma y duración, la identificación del controlador o el uso compartido, el controlador informa al titular, con destaque, del contenido de los cambios; cuando la base es el consentimiento, el titular puede revocarlo si no está de acuerdo (art. 8º, § 6º). Si la nueva finalidad es incompatible con el consentimiento original, el aviso llega antes del cambio (art. 9º, § 2º).

Como la carga de probar el consentimiento recae en el controlador (art. 8º, § 2º), tiene sentido guardar las versiones antiguas. Recomendaciones prácticas:

• Fecha de vigencia al principio y un historial breve de lo que cambió en cada versión.

• Versiones anteriores guardadas, con las fechas en que estuvieron vigentes, para saber qué leyó la persona cuando consintió.

• Registro de consentimiento vinculado a la versión del texto y del banner vigente en ese momento.

• Revisión disparada por eventos, no solo por el calendario: nuevo proveedor, nueva etiqueta o píxel, nueva finalidad, cambio de encarregado, cambio de razón social o de CNPJ.

Errores comunes

• Modelo copiado de otro sitio. Enumera datos que el sitio no recoge y olvida los que recoge, cita leyes extranjeras y a veces trae el nombre de otra empresa. La información del art. 9º tiene que ser la de tu tratamiento.

• Terceros ausentes. La política habla de "socios" sin decir quiénes son, y no menciona los píxeles, analytics, chat o plataforma de correo que hay en el sitio.

• Sin encarregado ni canal. Solo un "contáctanos" genérico, o solo un correo sin la identidad del encarregado.

• Finalidades genéricas. "Mejorar la experiencia" o "fines comerciales" no dicen para qué sirve cada dato.

• "Si sigues navegando, aceptas esta política." Seguir navegando no es consentimiento: la guía de la ANPD descarta el consentimiento tácito y las opciones preseleccionadas (p. 19).

• Plazo de conservación indefinido. Para la guía, los plazos de retención "indeterminados, excesivos o desproporcionados" no son compatibles con la LGPD (p. 17).

• Texto solo en otro idioma. La guía incluye la información de cookies solo en idioma extranjero entre las prácticas que hay que evitar (p. 33).

• Política desactualizada. Se cambió de proveedor, se instaló un píxel nuevo, y el texto sigue igual que hace años.

Cuándo algo de esto no se aplica

• Sitio personal sin fines económicos: la LGPD no se aplica al tratamiento hecho por una persona natural "con fines exclusivamente particulares y no económicos" (art. 4º, I). Un blog con anuncios o venta de productos ya tiene un fin económico.

• Sitio extranjero: la ley se aplica cuando el tratamiento ocurre en Brasil, cuando la oferta se dirige a personas en Brasil o cuando los datos se recogen en Brasil (art. 3º).

• Los datos de niños y adolescentes tienen reglas propias (art. 14) que este texto no cubre.

• El pequeño tamaño simplifica obligaciones, como la del encarregado, pero no exime del art. 9º. La propia Resolución CD/ANPD nº 2/2022 dice que esos agentes deben poner a disposición la información de los arts. 9º y 18 (art. 7º).

Cómo revisar tu sitio

El verificador de cookies de WebVyze, gratuito, comprueba si la página tiene un enlace a la política de privacidad y muestra las cookies guardadas antes de cualquier clic, los rastreadores en el HTML y si hay herramienta de consentimiento. Cruzar esa lista con la política es una forma rápida de encontrar terceros que el texto no menciona. La verificación gratuita revisa los riesgos de privacidad y accesibilidad de la página de inicio. Las herramientas no leen ni evalúan el contenido de la política y no sustituyen el análisis jurídico.