Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
LGPD · LEY BRASILEÑA DE PROTECCIÓN DE DATOS
El diagnóstico inicial es la parte fácil, y es donde la mayoría de los proyectos empieza y acaba. Lo que decide si tu empresa puede responderle a un cliente o a la autoridad dos años después es quién mantiene el inventario actualizado, quién revisa las bases legales cuando el negocio cambia y quién responde al titular dentro del plazo. De eso trata esta página.
La LGPD es una ley, y su interpretación es trabajo jurídico. DM11 conduce la adecuación con un especialista en derecho digital junto al especialista en gestión, porque separar esas dos cosas es lo que produce un proyecto vistoso que no se sostiene en una fiscalización. Cuando el objetivo también incluye un documento emitido por un tercero, la página de la ISO 27701 explica ese camino.
Quién conduce la adecuación
Especialistas en protección de datos certificados por EXIN (DPO, PDPP y PDPF)
Consultoría jurídica en privacidad y derecho digital
ISO/IEC 27001 Lead Auditor certificado por BSI
17 años de gobernanza, riesgos y cumplimiento
QUÉ EXIGE LA LEY
La Ley 13.709/2018 alcanza a cualquier empresa que trate datos personales en Brasil, y trata datos personales quien tiene empleados, clientes o proveedores personas físicas. No lista tecnología ni controles: lista principios, derechos del titular y responsabilidades. En la práctica eso significa que la empresa elige cómo cumplir, y necesita poder demostrar qué eligió, cuándo lo decidió y por qué.
No existe facturación mínima ni número de empleados por debajo del cual la ley deje de alcanzarte. Lo que existe es un régimen simplificado de la autoridad brasileña de protección de datos para agentes de tratamiento de pequeño porte, que reduce formalidad en algunas obligaciones sin quitar ninguna. Una empresa pequeña tiene menos papel que producir, no menos deber.
El error más común y más caro es tratar el consentimiento como opción por defecto. La ley trae diez bases legales, y el consentimiento es una de ellas, casi siempre la más frágil para un proceso de negocio, porque puede retirarse en cualquier momento y derriba el tratamiento con él. Elegir la base correcta por tratamiento es la decisión que más cambia el proyecto, y es una decisión jurídica.
La ley exige designar un encargado del tratamiento de datos personales y divulgar públicamente su identidad y contacto. Puede ser alguien interno, con el rol formalizado, o un servicio externo. Lo que no funciona es un nombre en el pie del sitio sin proceso detrás, porque el titular escribe y el reloj empieza a correr.
Conviene alinearlo temprano, porque cambia lo que la empresa debe producir. La ley en sí no es certificable, y lo que demuestra cumplimiento es evidencia fechada: inventario de tratamientos, base legal registrada, informe de impacto donde la ley lo pide, registro de solicitudes de titulares atendidas y prueba de que la gobernanza funciona. Cuando el cliente quiere un documento emitido por un tercero, y el cliente europeo suele quererlo, el camino es la ISO 27701, y el material construido aquí entra entero en ese proyecto.
QUIÉN SUELE BUSCARNOS
Rara vez la LGPD entra en la agenda por convicción. Entra porque alguien de afuera preguntó, o porque algo pasó.
Un cliente grande, un banco, una aseguradora o una empresa extranjera envió un formulario con decenas de preguntas y plazo corto. Responderlo sin base produce dos malos resultados: una respuesta optimista que no se sostiene en la próxima auditoría, y una respuesta ausente que traba el contrato.
Una filtración, ransomware o un correo que salió a la lista equivocada. La pregunta que aparece de inmediato es si hay que comunicar a la autoridad y a los titulares, y esa decisión es pésima de tomar a las apuradas, sin inventario y sin plan definido antes.
Venta de la empresa, ronda de inversión o entrada de un socio. La privacidad se volvió ítem de checklist en due diligence, y un pasivo de datos personales ya apareció como descuento de precio en transacciones reales. Aquí el plazo lo pone otro calendario, y no negocia.
Traducción
La adecuación a la ley brasileña de datos es el nombre que se le da a cinco trabajos distintos. Quien lo pide rara vez sabe cuál necesita, y descubrirlo es lo primero que hacemos, porque el alcance equivocado sale caro de los dos lados: sobra trabajo que nadie pidió, o falta lo que resolvería la pendencia.
| Lo que le llega | Lo que significa | Lo que cambia en el trabajo |
|---|---|---|
| “Necesitamos estar adecuados a la LGPD” | Solicitud sin alcance. Adecuación de la empresa entera, de un producto, o solo de lo que toca el dato del cliente que pregunta. | La conversación empieza por cuál de las tres. Adecuar toda la empresa cuando lo que traba es un contrato es gastar meses en el lugar equivocado. |
| “El cliente mandó un cuestionario de privacidad” | Diligencia de terceros. No quiere un programa: quiere evidencia de que su dato se trata con método. | Trabajo corto y concreto. Mapear lo que ese cliente toca, escribir lo que falta y responder con evidencia, no con promesas. |
| “Necesitamos nombrar un encargado” | La ley exige que el nombre sea público. Lo que no dice es que la función da trabajo todos los meses. | Nombrar es la parte fácil. El trabajo es el canal del titular, el plazo de respuesta, el contrato nuevo y el sistema nuevo. Puede asumirse como servicio. |
| “Tuvimos un incidente y no sabemos si se comunica” | Urgencia real y plazo corto. La decisión de comunicar depende del riesgo al titular, y hay que tomarla y registrarla. | Primero entra la respuesta al incidente, con la decisión documentada. El programa viene después, y nace mejor por lo aprendido. |
| “El cliente europeo pidió garantías sobre dato personal” | El GDPR entra en la conversación. Suele ser el caso en que un certificado responde mejor que un expediente. | El camino cambia: la adecuación se vuelve base para la ISO 27701, y el material construido aquí entra entero en ese proyecto. |
| “Queremos un dictamen sobre la base legal que elegimos” | No es adecuación. Es asesoría jurídica, y DM11 no la presta. | Lo decimos en la primera conversación. DM11 tiene especialistas en derecho digital en el equipo y aun así mantiene los papeles separados: organizamos la operación, el área jurídica decide qué es lícito. |
Nada de esto es precio. Cada una de esas líneas es un trabajo de tamaño distinto, y por eso la conversación empieza por cuál de ellas es la suya.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Comercio electrónico
La empresa había puesto un aviso de consentimiento en cada punto de recolección y daba el tema por resuelto. Cuando empezaron las solicitudes de eliminación, descubrió que la misma casilla sostenía la entrega del pedido, la factura y el cobro, y que atender al titular al pie de la letra rompería la operación.
Rehicimos el análisis tratamiento por tratamiento, con jurídico al lado. Buena parte de lo que estaba bajo consentimiento tenía una base mejor disponible: ejecución de contrato para la entrega, obligación legal para la factura, interés legítimo documentado para prevención de fraude. El consentimiento quedó donde de hecho es la base correcta, que es la comunicación de marketing.
Las solicitudes de eliminación dejaron de ser crisis y se volvieron proceso. Y la base de marketing se redujo mucho menos de lo que el equipo temía, porque casi todo lo demás nunca dependió del consentimiento.
Servicios de recursos humanos
La empresa mantenía currículums, resultados de pruebas y notas de entrevista de todos los que alguna vez se postularon, sin plazo y sin criterio. Nadie había decidido guardarlos para siempre: simplemente nunca hubo una decisión de descartar, y el volumen se acumuló durante años.
Definimos plazos de retención por tipo de información, con jurídico evaluando qué debe quedarse por obligación legal y qué solo existía por conveniencia. Implantamos el descarte, y lo difícil no fue técnico: fue acordar qué hacer con las notas subjetivas del entrevistador, que son datos personales y el equipo no las veía así.
El acervo se redujo de forma expresiva, y con él el tamaño de cualquier incidente futuro. El dato que ya no existe no se filtra, y esa fue la reducción de riesgo más barata de todo el proyecto.
Industria
Decenas de proveedores tocaban datos personales de la empresa, de nómina a beneficios, del sistema de fichaje a la plataforma de capacitación. Ningún contrato tenía cláusula de protección de datos, y nadie sabía cuáles almacenaban información fuera del país.
Relevamos quién toca qué y clasificamos por riesgo, en lugar de tratar a los cuarenta como iguales. Los pocos críticos recibieron revisión contractual completa y verificación de dónde quedan los datos. El resto entró en un anexo estándar, con plazo, y compras pasó a exigir la cláusula antes de la firma.
La ganancia no fue solo jurídica. Al mapear los proveedores, la empresa descubrió tres sistemas contratados por áreas, sin pasar por TI, tratando datos de empleados. Dos fueron apagados.
AUTODIAGNÓSTICO
Las cuatro primeras preguntas clasifican tu caso, porque ser controlador, operador o las dos cosas cambia casi todo. Las otras dieciséis miden lo que existe y está en pie. El resultado aparece completo en la pantalla, con la nota de cada área. No pedimos correo para mostrarlo. Esto mide gestión y evidencia; no es una lectura jurídica de la ley ni sustituye el análisis de tu equipo legal.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Una nota baja aquí quiere decir que la empresa responde preguntas sobre datos personales por la memoria de quien estaba ahí, y la memoria no sobrevive ni a un cambio de equipo ni a una auditoría de cliente. Lo que suele faltar no es la planilla, es la conversación con quien opera: el mapa que sale solo de TI pierde el formulario de RR. HH., la lista de correo de marketing y la planilla de posventa. Empieza por un área sola, la que más toca datos personales, y llégale hasta el final antes de abrir la segunda. Registra origen, finalidad, quién accede, hacia dónde va y por cuánto tiempo, aunque la primera versión salga fea.
De 50 a 79
Existe un relevamiento, y describe parte de la empresa o una versión antigua de ella. El síntoma típico es la planilla de un proyecto anterior que nadie tocó desde que entró el producto nuevo. Vale menos ampliar el mapa ahora y más fechar lo que ya existe: marcar cuál es el área dueña de cada tratamiento y cuándo se verificó por última vez. Después de eso, el hueco previsible es lo que se contrató fuera de TI, y se encuentra preguntándoles a las áreas qué firmaron con la tarjeta corporativa, no mirando el inventario de sistemas.
80 o más
El mapa existe y acompaña a la operación, y es eso lo que hace que las otras áreas tengan en qué apoyarse. Lo que suele escaparse en este rango es la finalidad escrita en lenguaje de sistema en vez de lenguaje de negocio: cuando la finalidad dice solo el nombre del módulo, nadie consigue juzgar si el dato todavía sirve para eso. Reescribe las finalidades de los cinco tratamientos con más gente involucrada y pruébalas con una persona del área, que necesita reconocer su propio proceso en la frase.
Menos de 50
Una nota baja en este dominio casi siempre significa una de dos cosas: no se registró nada, o todo se marcó como consentimiento sin análisis. Las dos dan el mismo trabajo después, porque la empresa no consigue explicar por qué trata lo que trata. Vale separar lo que es tuyo de lo que es de jurídico: levantar la lista de tratamientos, describir cada uno en una frase y anotar quién lo aprobó es trabajo de gestión, y es el insumo sin el cual ningún abogado consigue decidir. La elección de la base en sí es análisis jurídico, y sale mucho más barata cuando llega con ese material listo.
De 50 a 79
Hay registro en los tratamientos principales, y lo que falta suele ser la justificación: la base aparece anotada y nadie sabe decir por qué se eligió ni quién decidió. Sin ese rastro, la primera pregunta de un cliente o de un comprador reabre la discusión entera. Del lado del aviso publicado, la prueba rápida es leer el texto al lado del inventario y marcar toda promesa que la operación no cumple. Corrige primero las divergencias, y solo después piensa en mejorar la redacción, porque un aviso vistoso que describe a otra empresa pesa en contra.
80 o más
Registro y transparencia están alineados, y la empresa consigue explicar sus propias decisiones. El punto de atención de este rango es el disparador: una base legal registrada envejece cuando la finalidad cambia sin que nadie avise, y la finalidad cambia con producto nuevo, alianza nueva y campaña nueva. Acuerda con jurídico una revisión disparada por evento, y no por calendario. En el consentimiento, verifica si la retirada llega de verdad a todos los sistemas, porque el punto que suele quedar fuera es la herramienta de envío contratada por marketing.
Menos de 50
Sin encargado designado y sin camino definido, la solicitud del titular llega igual, por la atención común o por redes sociales, y el reloj empieza a correr sin que nadie lo note. Lo que suele faltar antes del nombre es la decisión sobre autoridad y tiempo: designar a alguien que no tiene autonomía para pedirle una eliminación a un área crea un cargo sin función. Define quién es, formalízalo por escrito, publica el contacto y dibuja en una página quién hace qué para acceso, corrección y eliminación. Es el dominio más barato de sacar de cero en este diagnóstico.
De 50 a 79
Existe contacto publicado y la atención se organiza caso por caso, lo que funciona mientras el volumen es pequeño y falla en el primer mes en que llegan tres solicitudes juntas. Lo que falta es el registro: sin él la empresa no consigue probar que respondió, y ese historial es justamente lo que un cliente pide en una due diligence. Una planilla compartida con fecha de entrada, tipo de solicitud, plazo y respuesta ya resuelve lo esencial. Vale también escribir la respuesta estándar de las dos o tres solicitudes más comunes, porque es lo que evita que cada caso se vuelva una redacción nueva.
80 o más
El canal existe, tiene dueño y deja rastro. Lo que diferencia en este rango es la identificación de quien pide: atender una solicitud de eliminación sin confirmar que la persona es quien dice ser es el error que convierte un buen proceso en incidente. Verifica si el flujo cubre solicitudes hechas por un tercero, por un abogado y por el responsable de un menor, que son las que traban. Y prueba el camino de afuera hacia adentro, escribiendo al propio contacto publicado y cronometrando la respuesta.
Menos de 50
Este es el dominio que más explica por qué los proyectos de adecuación envejecen, y una nota baja aquí suele venir junto con una carpeta de documentos bien escritos. Lo que falta no es intención, es un nombre con fecha en la agenda de alguien: sin responsable y sin periodicidad, la revisión solo ocurre cuando un cliente pregunta, y ahí ya es tarde. Elige a una persona, define una frecuencia que la empresa consiga cumplir, aunque sea semestral, y lista los tres disparadores que activan una revisión fuera del ciclo: sistema nuevo, proveedor nuevo, producto nuevo. Del lado de la capacitación, empieza por las áreas que más tocan datos, con registro de quién participó.
De 50 a 79
La revisión ocurre cuando alguien se acuerda, y la capacitación fue un evento único o un comunicado por correo. En la práctica eso significa que la empresa depende de que una persona específica siga cerca, y es el riesgo que nadie ve hasta que se va. El paso concreto es transformar el recordatorio en rutina registrada y el comunicado en contenido por área: lo que RR. HH. puede y no puede hacer es distinto de lo que vale para el comercial. El registro de participación no es burocracia, es la única evidencia de que la orientación llegó.
80 o más
La rutina existe y sobrevive al cambio de personas, que es lo que sostiene todo el resto del programa. El punto de atención es el disparador por evento: una revisión anual bien hecha sigue dejando un vacío de once meses para el proveedor que entró en febrero. Vale verificar si compras, TI y producto saben que tienen que avisar, y si avisan. Y vale medir la capacitación por comportamiento, no por presencia: preguntarles a las áreas qué harían en un caso concreto revela más que cualquier lista de firmas.
Menos de 50
Una nota baja aquí casi nunca viene de una decisión de guardarlo todo, sino de la ausencia de cualquier decisión de borrar. El efecto es que el tamaño de un incidente futuro crece solo, mes a mes, sin que nadie lo haya elegido. Lo que suele faltar es la conversación entre quien sabe qué debe quedarse por obligación y quien sabe qué existe: empieza por dos o tres tipos donde la acumulación es evidente, como el currículum de candidatos y la grabación de atención. Definir plazo para pocos tipos y cumplirlo vale más que una tabla completa que nadie aplica.
De 50 a 79
Existe regla para parte de los datos, o existe tabla y no se aplica, que es el caso más frecuente. La distancia entre la regla y la ejecución suele ser técnica y sin dueño: nadie quedó encargado de correr el descarte. Nombra al responsable, define la periodicidad y registra qué salió y cuándo, porque un descarte sin registro no sirve de evidencia. Antes de eso, verifica si la regla escrita fue validada con jurídico sobre qué debe quedarse, para no borrar lo que había obligación de guardar.
80 o más
El ciclo de guarda y descarte está definido y ocurre. Lo que suele escaparse en este rango son las copias fuera del camino principal: una extracción a planilla, una base de pruebas con datos reales, un adjunto en correo y el backup con una retención mayor que la política. Ninguna aparece en el sistema, y todas aparecen en una filtración. Mapea por dónde salen los datos del sistema oficial y trata cada salida como un destino con plazo propio, incluyendo la decisión explícita sobre qué hacer en el backup.
Menos de 50
Sin cláusula en los contratos y sin saber dónde quedan los datos, la empresa responde por la decisión de elegir al proveedor y no consigue demostrar nada sobre él. Lo que suele faltar primero no es la cláusula, es la lista: quién toca tus datos personales, para hacer qué. Se arma rápido cruzando cuentas por pagar con los sistemas en uso, y casi siempre revela nombres que TI no conocía. Con la lista en la mano, clasifica por criticidad en vez de tratarlos a todos como iguales, y empieza la revisión por los pocos que concentran volumen o datos sensibles.
De 50 a 79
Los contratos nuevos ya salen con cláusula y el pasado nunca se revisó, que es el patrón de quien arregló el proceso de compras y se detuvo ahí. El riesgo queda concentrado justamente en los proveedores antiguos, que suelen ser los que tienen más datos. Elige a los diez más críticos y trátalos uno por uno, con anexo cuando corresponda. Del lado de dónde quedan los datos, pregúntale por escrito al proveedor en qué país está la información y quién más accede, incluidos sus subcontratados, porque esa respuesta es el insumo que jurídico necesita para tratar la transferencia.
80 o más
Sabes quién toca qué, y los contratos acompañan. Lo que suele faltar en este rango es la salida: un proveedor que termina el contrato manteniendo acceso o manteniendo copia de los datos es el hallazgo más silencioso de este dominio. Incluye en la terminación la confirmación de devolución o eliminación, con registro. Y reevalúa a los críticos con periodicidad, porque el proveedor que era pequeño hace dos años puede haber cambiado de infraestructura, de país o de subcontratado sin avisarle a nadie.
Menos de 50
Un acceso amplio y la ausencia de plan son los dos factores que más aumentan el tamaño de cualquier incidente, y una nota baja aquí suele convivir con buena infraestructura, porque el problema es de decisión y no de herramienta. Lo que suele faltar es la pregunta simple que nunca se hizo: cuántas personas pueden abrir la base entera de clientes o la carpeta de RR. HH. Haz ese relevamiento primero, corta lo que es herencia de un cargo anterior y registra quién aprobó lo que quedó. En paralelo, escribe en una página quién evalúa el riesgo a los titulares y quién decide sobre comunicar, aunque el plan completo venga después.
De 50 a 79
Hay control de acceso y la revisión es esporádica, o existe un plan de incidentes que trata la parte técnica y no la parte de datos personales. Son brechas distintas con el mismo origen: la seguridad la resolvió TI y la privacidad no entró en la conversación. En la revisión de acceso, lo que falta es el registro de quién revisó y de qué se quitó, sin el cual la revisión no cuenta como evidencia. En el plan, lo que falta es el criterio de evaluación de riesgo a los titulares y jurídico dentro de la decisión, porque comunicar o no es decisión de negocio y de derecho, no de infraestructura.
80 o más
Un acceso controlado y un plan escrito ponen a la empresa en una posición cómoda para el peor día. La distancia que sobra es el ensayo: un plan nunca ejercitado suele revelar, en la primera prueba de mesa, que nadie sabe quién llama a quién fuera del horario comercial y que el contacto del proveedor crítico está desactualizado. Agenda un ejercicio corto con quienes realmente participarían, incluidos jurídico y comunicación, y registra qué se trabó. El resultado de ese ensayo vale más que cualquier mejora en el texto del plan.
QUIÉN HACE QUÉ
La ley exige un encargado, y exige que su nombre sea público. Lo que no dice es que la función da trabajo continuo: solicitud del titular, incidente, contrato nuevo, sistema nuevo. Es donde la mayoría de los programas se detiene después del diagnóstico.
CÓMO LO CONDUCIMOS
Jurídico y gestión caminan juntos desde el primer día, y no en secuencia. Una adecuación conducida solo por jurídico produce un dictamen que nadie opera, y conducida solo por tecnología produce controles sin base legal detrás. Las dos lecturas tienen que cruzarse en cada tratamiento.
Relevamos los tratamientos por proceso de negocio, con quien opera y no solo con quien coordina, porque la planilla oficial casi nunca coincide con la práctica. Registramos origen, finalidad, quién accede, hacia dónde va, cuánto tiempo queda y qué proveedores tocan.
Inventario de tratamientos por proceso de negocio
Flujo de datos personales, incluyendo transferencias a terceros
Lista de proveedores con acceso, clasificada por riesgo
Identificación de lo que es dato personal sensible
Hito de entregaInventario aprobado por las áreas dueñas de los procesos, y no solo por TI.
Con jurídico, definimos la base legal de cada tratamiento y registramos la justificación. Evaluamos los riesgos a los titulares, que no son los mismos riesgos de la seguridad de la información, y producimos informe de impacto donde la ley o el riesgo lo piden.
Base legal registrada y justificada por tratamiento
Prueba de interés legítimo donde esa es la base elegida
Informe de impacto a la protección de datos, donde aplique
Política de privacidad y avisos reescritos para lo que la empresa realmente hace
Hito de entregaBase legal definida en el 100% de los tratamientos inventariados, con jurídico de acuerdo.
Implantamos con tu equipo lo que sostiene la decisión en el día a día: acceso por necesidad, retención y descarte por tipo de dato, cláusulas en los contratos con terceros y el proceso de atención al titular, con canal, plazo, registro y respuesta estandarizada.
Proceso de atención al titular, con plazo y registro
Política de retención y descarte, implantada y no solo escrita
Cláusulas de protección de datos revisadas en contratos de terceros
Encargado formalizado y contacto publicado
Hito de entregaPrimer ciclo de solicitudes de titulares atendido dentro del plazo, con registro completo.
Es la fase que separa adecuación de informe. Definimos quién revisa qué y con qué frecuencia, capacitamos a quien opera y ensayamos un incidente, para que la decisión de comunicar a la autoridad y a los titulares se tome con el plan en la mano y no en el susto.
Rutina de revisión definida, con responsable y periodicidad
Plan de respuesta a incidente con datos personales, ensayado
Capacitación de las áreas que más tratan datos personales
Informe para la dirección, con lo que quedó pendiente por escrito
Hito de entregaEnsayo de incidente concluido, con la decisión de comunicar tomada dentro del plan.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque plazo publicado se convierte en promesa. La primera conversación suele bastar para separar los dos casos que más aparecen: la empresa que nunca hizo nada y la que hizo un proyecto hace años y no lo mantuvo. La segunda casi siempre está más cerca de lo que imagina, y a veces más lejos.
Una operación con media docena de sistemas es un proyecto. Una con decenas de proveedores y áreas contratando herramientas por su cuenta es otro, y buena parte del tiempo se va descubriendo qué existe antes de poder decidir algo.
Con alguien interno disponible, el rol se formaliza rápido. Sin nadie, la decisión entre designar internamente y contratar el servicio debe tomarse temprano, porque el encargado participa del proyecto y no entra una vez terminado.
Adecuar alcanza para responderle a un cliente o a la autoridad con evidencia propia. Cuando hay intención de certificar privacidad después, organizamos el material ya en el formato de la ISO 27701 desde el comienzo, lo que cuesta poco ahora y ahorra un proyecto entero después.
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
La ley en sí no es certificable, y conviene saberlo antes de contratar nada, porque el término circula bastante en el mercado brasileño. Lo que demuestra cumplimiento es evidencia: inventario actualizado, base legal registrada, atención al titular funcionando y gobernanza que se prueba con documento fechado. Si lo que necesitas es un documento emitido por un tercero, para responderle a un cliente o a un regulador, la norma certificable de privacidad es la ISO 27701, y el trabajo de adecuación es justamente su base.
Aplica. No existe tamaño mínimo, y cualquier empresa con empleados ya trata datos personales. Lo que existe es un régimen simplificado de la autoridad brasileña para agentes de tratamiento de pequeño porte, que alivia formalidad en algunas obligaciones. Reduce papel, no deber: base legal, derechos del titular y seguridad de la información siguen valiendo íntegramente.
No, y apoyarlo todo en el consentimiento es el error que más trabajo da después. La ley trae diez bases legales, y varias sirven mejor a un proceso de negocio: ejecución de contrato, cumplimiento de obligación legal, interés legítimo. El consentimiento puede retirarse en cualquier momento, y cuando sostiene algo esencial, la retirada derriba la operación con él. Elegir la base correcta por tratamiento es decisión jurídica, y es la que más cambia el proyecto.
La ley exige designar un encargado y divulgar públicamente su identidad y contacto. Puede ser alguien interno, con el rol formalizado y tiempo real para ejercerlo, o un servicio externo. Lo que no resuelve nada es publicar un correo sin proceso detrás: apenas el contacto existe, el titular escribe, y a partir de ahí corre el plazo de respuesta.
Depende de si hay riesgo relevante para los titulares, y esa evaluación es pésima de hacer el mismo día. La comunicación a la autoridad y a los titulares es obligatoria cuando el incidente puede acarrear riesgo o daño relevante, y el plazo y la forma siguen el reglamento de la autoridad de protección de datos, que cambia con más frecuencia que la ley. Por eso la decisión debe estar ensayada antes: con el inventario en la mano se puede decir en horas qué datos fueron alcanzados, y sin él la empresa pasa días averiguándolo.
Ayuda bastante y no la resuelve. La ISO 27001 cubre la parte de seguridad que la LGPD también exige, y esa evidencia se aprovecha casi entera: control de acceso, registro, gestión de terceros, respuesta a incidentes. Lo que no cubre es el núcleo jurídico de la ley, que es base legal, derechos del titular, finalidad y retención. Son capas distintas, y las empresas certificadas suelen sorprenderse con el tamaño de lo que falta en esa segunda.
Trae el cuestionario o la cláusula del contrato. Te decimos qué ya existe en tu empresa que responde, qué falta de verdad y en qué orden tiene sentido resolverlo, sin convertir esto en un proyecto de dos años.
Presidência da República, texto consolidado · consultado el
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.