LGPD en 2026: qué ha cambiado, qué no se cumple aún y qué viene

Decir que su empresa es “cumple con la LGPD” se ha vuelto tan barato como decir que está “centrada en el cliente”. La declaración no cuesta nada, rara vez se verifica y casi nunca corresponde a la realidad operativa. La diferencia entre tener un documento de Política de Privacidad en el pie de página del sitio web y procesar datos personales con controles adecuados es enorme, y esta diferencia comienza a pasar factura. La Autoridad Nacional de Protección de Datos salió del período de aprendizaje y está construyendo el expediente de inspección que definirá el estándar de aplicación en Brasil para los próximos años. Comprender dónde estamos en 2026 es, ante todo, comprender la distancia entre lo que se dijo y lo que se hizo.

Lo que realmente ha hecho la ANPD hasta ahora

La ANPD inició sus actividades sancionatorias de forma paulatina, lo que generó una percepción errónea en los primeros años de que el organismo no tendría fuerza para imponer multas. Este diagnóstico fue erróneo, sólo temprano. A lo largo de 2024 y 2025, la Autoridad consolidó procesos administrativos sancionadores en sectores como la salud, las finanzas y el comercio minorista digital, con multas que alcanzaron el nivel de R$ 50 millones en los casos más graves: el límite máximo previsto por la ley por infracción es el 2% de los ingresos en Brasil, limitado a R$ 50 millones por infracción.

Más relevante que el valor nominal de las multas es el patrón de infracciones priorizadas. La ANPD no ha llevado a cabo controles específicos. Los casos más graves involucran la ausencia de una base legal para el procesamiento, el intercambio de datos sin consentimiento informado y, especialmente, los incidentes de seguridad que no fueron reportados dentro de las 72 horas requeridas por el reglamento de incidentes publicado en 2023. Este último punto merece atención: la obligación de notificar existe, el plazo es conocido y, sin embargo, las empresas continúan reportando incidentes con semanas de retraso o solo cuando son presionadas por los usuarios afectados.

Sectores más expuestos y por qué

La salud y las finanzas encabezan el mapa de riesgos, no por casualidad. Estos son los sectores que procesan datos confidenciales en volumen, tienen amplias bases de usuarios e históricamente han construido infraestructuras de datos con un enfoque en los negocios, no en la gobernanza. La combinación de datos de salud (una categoría especialmente protegida por la LGPD) con sistemas heredados sin controles de acceso adecuados creó un perfil de riesgo que la ANPD identificó tempranamente.

En el comercio minorista digital, el problema es diferente. No se trata tanto de la sensibilidad de los datos como de la escala de procesamiento y la cadena de intercambio con terceros: plataformas de medios, proveedores de CRM, herramientas de análisis, redes de afiliados. Cada integración es un vector de riesgo y la mayoría de las empresas no cuentan con un mapeo actualizado de quién recibe qué datos. El Informe de Impacto en la Protección de Datos Personales – el RIPD – que la ley exige para tratamientos de alto riesgo sigue siendo el documento más ignorado en el cumplimiento de la privacidad en Brasil.

Las empresas emergentes y las fintech crecieron rápidamente y subcontrataron el cumplimiento a firmas de abogados que entregaban documentación sin transformar los procesos internos. El resultado es un cumplimiento de primer nivel: políticas bien redactadas, DPO denominados en papel y prácticas internas que no han cambiado.

La brecha entre "tenemos la política" y "tratamos los datos adecuadamente"

El verdadero cumplimiento no comienza en el departamento legal. Comienza con un inventario de datos: saber qué recopila la empresa, dónde lo almacena, cuánto tiempo lo conserva, quién accede a él y con quién lo comparte. La mayoría de las empresas brasileñas nunca han realizado este mapeo de manera integral. Hicieron lo que estaba visible: actualizar el aviso de privacidad, agregar un banner de cookies, nombrar un DPO.

Lo que quedó atrás es el trabajo técnico: implementar controles de acceso basados en roles para bases de datos con información personal, crear rutinas de eliminación automática al final del período de retención, garantizar que los registros de acceso a datos personales se mantengan y monitoreen, crear flujos de respuesta a las solicitudes de los titulares que funcionen dentro del plazo legal de 15 días. Estos son procesos de ingeniería y operaciones, no comunicaciones, y requieren que los equipos de tecnología comprendan la ley además de lo legal.

La prueba de que la brecha es real aparece en los incidentes denunciados a la ANPD: la mayoría involucran sistemas que deberían tener controles de seguridad básicos pero no los tuvieron, porque la empresa nunca trató los datos personales como un activo que requiere una gestión específica.

Lo que viene: decisiones automatizadas y transferencias internacionales

Dos temas dominan la agenda regulatoria de la ANPD para 2026 y 2027. El primero es la regulación de las decisiones automatizadas: el artículo 20 de la LGPD garantiza al titular el derecho a la revisión humana de las decisiones tomadas exclusivamente por algoritmos que afectan a sus intereses. La ANPD está desarrollando normas específicas sobre el tema, con impacto directo en el otorgamiento de créditos, fijación de precios de seguros, selección de candidatos en procesos de selección y moderación de contenidos en plataformas. Las empresas que operan con estos modelos necesitan preparar documentación de los criterios utilizados, no como un ejercicio retórico, sino como un proceso auditable.

El segundo tema es la idoneidad para las transferencias internacionales de datos. Brasil aún no tiene una decisión de adecuación reconocida por la Unión Europea, que limita la libre circulación de datos entre los dos bloques. La ANPD está trabajando en cláusulas contractuales tipo que permitirán transferencias a países sin un nivel de protección equivalente al de Brasil, y las organizaciones que operan con filiales o proveedores en el exterior deberán revisar sus contratos tan pronto como se publique el reglamento. Aplazar este análisis hasta después de su publicación es garantizar prisas innecesarias.

Cómo preparar lo que aún no se ha hecho

Prioridad uno: completar el inventario de datos si no existen o están desactualizados. No es posible gestionar lo que no está mapeado, y la ANPD ha exigido este documento como primer paso en cualquier investigación. Prioridad dos: revisar la cadena de suboperadores y asegurar que los contratos con terceros que reciben datos personales incluyan las cláusulas que exige la ley. Tercera prioridad: probar los procesos de respuesta a los titulares: muchas empresas tienen el canal de contacto, pero nunca han simulado una solicitud de portabilidad o eliminación para comprobar si pueden cumplir el plazo.