El supuesto más cómodo que circuló en el mercado brasileño después de que se arraigó la LGPD fue que las empresas, ante la amenaza concreta de una multa, harían lo que fuera necesario. Dos años de aplicación activa de la ley muestran que esta suposición era errónea, no porque las empresas sean negligentes, sino porque el cumplimiento que la mayoría implementó fue diseñado para parecer suficiente, no para funcionar realmente.
Qué hicieron realmente las empresas
El movimiento más visible fue superficial por definición. Proliferaron los carteles de cookies. Las políticas de privacidad se reescribieron en un lenguaje que pocos leyeron y aún menos entendieron. Los formularios obtuvieron casillas de verificación de consentimiento. El DPO, un puesto exigido por ley, fue designado, en muchos casos, como una función adicional para un abogado que ya estaba sobrecargado de trabajo o un analista de TI que no tenía una formación específica.
Lo que no sucedió, en la misma escala, fue el trabajo invisible que sustenta cualquier programa de privacidad real: el mapeo de datos. Saber qué datos personales recopila la empresa, dónde se almacenan, cuánto tiempo se conservan, quién tiene acceso y con qué terceros se comparte es la base de todo. Sin este inventario, cualquier respuesta a una solicitud principal es un ejercicio de improvisación. Sin él, responder a un incidente de seguridad se convierte en un caos. La mayoría de las medianas empresas brasileñas llegaron a 2026 sin haber completado este mapeo.
Lo que la ANPD reveló con su accionar
La Autoridad Nacional de Protección de Datos no llegó con el rigor inmediato que algunos esperaban, lo que, paradójicamente, alimentó la postura del mínimo esfuerzo. Las primeras sanciones se aplicaron con criterios pedagógicos: cantidades inferiores al tope legal, comunicaciones que priorizaban la orientación antes que el castigo. Muchas empresas interpretaron esto como una señal de que la ventana de impunidad era larga.
Las acciones de la ANPD, sin embargo, revelaron patrones claros de prioridad. Los incidentes de seguridad con un volumen significativo de datos personales filtrados recibieron atención inmediata. Las empresas de los sectores financiero y sanitario, que se ocupan de categorías sensibles, fueron examinadas con más rigor. La ausencia de un canal funcional para las solicitudes de los titulares se convirtió en un motivo frecuente de investigación. Lo que la autoridad no persiguió, al menos no sistemáticamente, fue la calidad del consentimiento o la integridad de los registros de tratamiento, precisamente lo que muchas empresas descuidaron.
Este enfoque selectivo creó un incentivo perverso: bastaba con tener un canal de atención que respondiera dentro del plazo y un banner de cookies, y el riesgo inmediato de sanciones disminuyó. El cumplimiento real, que requiere una gobernanza de datos de extremo a extremo, pasó a considerarse demasiado entusiasta.
¿Qué separa el cumplimiento real del cumplimiento cosmético?
Las empresas que hicieron el verdadero trabajo construyeron tres cosas que otras no tienen. Primero, un registro actualizado de las operaciones de procesamiento: no un documento estático entregado para auditoría, sino un inventario vivo que rastrea los cambios en los sistemas y los flujos de datos. En segundo lugar, un proceso operativo para responder a los interesados: cuando alguien solicita acceso, corrección o eliminación de sus propios datos, existe un flujo definido con SLA y responsable, no una casilla de correo electrónico olvidada. En tercer lugar, gestión de terceros: se han revisado los contratos con proveedores que procesan datos personales, se han incluido cláusulas DPA y existe al menos cierto nivel de verificación periódica de que estos proveedores mantienen controles adecuados.
Ninguna de estas tres cosas aparece en el sitio web de la empresa. Ninguno es visible para el usuario final. Por esta razón, son el criterio más honesto para distinguir a quienes han cumplido de quienes se han involucrado en el teatro regulatorio.
El peso que tomarán las incidencias
Brasil tuvo importantes fugas durante este período. La megafiltración de 2021, con más de 220 millones de registros, aún tuvo causas que nunca se aclararon del todo públicamente. Otros incidentes menores (en empresas de atención médica, en plataformas de comercio electrónico, en sistemas de nómina) han demostrado que los vectores de ataque no son sofisticados: credenciales expuestas, bases de datos sin autenticación, API sin control de acceso.
El proyecto de ley de cumplimiento cosmético aparecerá cuando la ANPD comience a investigar la respuesta de las empresas a estos incidentes, no sólo el incidente en sí. La ley exige la comunicación a la autoridad y a los titulares afectados en un plazo razonable. Requiere que la empresa sepa con precisión qué datos se han visto comprometidos y quién es el propietario. Sin el inventario de datos que la mayoría no realizó, es imposible brindar una respuesta de calidad, y la falta de calidad en la respuesta tiende a agravar, no mitigar, la situación regulatoria.
##Qué hacer ahora, con lo que existe
Para las empresas que reconocen que están en el campo del cumplimiento cosmético, el punto de partida no es rehacer todo, sino priorizar honestamente. El mapeo de datos puede comenzar con los sistemas más críticos y los tratamientos de mayor riesgo, no con toda la empresa a la vez. El DPO necesita autoridad real, acceso al liderazgo y recursos mínimos para funcionar; si la persona designada no tiene estas condiciones, el nombramiento es simplemente burocrático.
La revisión de los contratos con proveedores de tecnología merece especial atención porque es ahí donde a menudo se concentra el riesgo: procesamiento de datos en la nube, sistemas CRM, plataformas de análisis, herramientas de automatización de marketing. Cada uno de estos proveedores es un operador en el sentido de la LGPD, y la responsabilidad de lo que hacen con los datos recae en el responsable del tratamiento.
Lo que el mercado exigirá en los próximos años (a socios, proveedores y plataformas) es evidencia de que el cumplimiento tiene sustancia. La presión vendrá menos de la ANPD y más de las propias cadenas de suministro, a medida que las empresas con operaciones internacionales comiencen a exigir demostraciones concretas de cumplimiento. Quien haya hecho el trabajo real tendrá esta evidencia. Los que sólo hicieron teatro necesitarán hacerlo de verdad, más tarde y con más prisa.
Lea también
- LGPD en 2026: qué ha cambiado, qué no se cumple aún y qué viene
- LGPD en Aplicaciones: Guía de Cumplimiento
- Residencia de datos: qué significa en la práctica garantizar que los datos permanezcan en Brasil
- LGPD en Startups: Estrategias de Cumplimiento y Protección de Datos
- Cumplimiento digital: Guía de cumplimiento para productos digitales
- Cumplimiento Digital: Comparativo en la Práctica