LGPD en 2026 : ce qui a changé, ce qui n'est pas encore respecté et ce qui s'en vient

Dire que votre entreprise est « conforme à la LGPD » est devenu aussi simple que de dire qu'elle est « axée sur le client ». La déclaration ne coûte rien, est rarement vérifiée et ne correspond presque jamais à la réalité opérationnelle. La différence entre avoir un document de politique de confidentialité dans le pied de page du site Web et traiter réellement des données personnelles avec des contrôles adéquats est énorme – et cette différence commence à avoir des conséquences néfastes. L'Autorité nationale de protection des données a quitté la période d'apprentissage et est en train de constituer le dossier d'inspection qui définira la norme d'application au Brésil pour les années à venir. Comprendre où nous en sommes en 2026, c’est d’abord comprendre la distance entre ce qui a été dit et ce qui a été fait.

Ce que l'ANPD a réellement fait jusqu'à présent

L'ANPD a commencé progressivement ses activités de sanction, ce qui a généré au cours des premières années une perception erronée selon laquelle l'organisme n'aurait pas la force d'imposer des amendes. Ce diagnostic était erroné, mais précoce. Tout au long des années 2024 et 2025, l'Autorité a consolidé les processus de sanctions administratives dans des secteurs tels que la santé, la finance et la vente au détail numérique, avec des amendes qui ont atteint le niveau de 50 millions de R$ dans les cas les plus graves – le plafond prévu par la loi par infraction est de 2 % des revenus au Brésil, limité à 50 millions de R$ par infraction.

Plus pertinent que le montant nominal des amendes est le type d’infractions prioritaires. L’ANPD n’a pas procédé à des oublis spécifiques. Les cas les plus graves concernent l'absence de base légale pour le traitement, le partage de données sans consentement éclairé et, surtout, les incidents de sécurité qui n'ont pas été signalés dans les 72 heures exigées par le règlement sur les incidents publié en 2023. Ce dernier point mérite attention : l'obligation de notification existe, le délai est connu, et pourtant les entreprises continuent de signaler les incidents avec des semaines de retard ou seulement sous la pression des utilisateurs concernés.

Secteurs les plus exposés et pourquoi

La santé et la finance sont en tête de liste des risques, et ce n’est pas un hasard. Il s’agit de secteurs qui traitent des données sensibles en grand volume, disposent d’une large base d’utilisateurs et ont historiquement construit des infrastructures de données axées sur les affaires et non sur la gouvernance. La combinaison de données de santé – une catégorie particulièrement protégée par la LGPD – avec des systèmes existants sans contrôles d’accès adéquats a créé un profil de risque que l’ANPD a identifié très tôt.

Dans le commerce de détail numérique, le problème est différent. Il ne s'agit pas tant de la sensibilité des données que de l'ampleur du traitement et de la chaîne de partage avec des tiers : plateformes médiatiques, fournisseurs de CRM, outils d'analyse, réseaux d'affiliation. Chaque intégration est un vecteur de risque et la plupart des entreprises ne disposent pas d'une cartographie à jour indiquant qui reçoit quelles données. Le rapport d'impact sur la protection des données personnelles – le RIPD – que la loi exige pour les traitements à haut risque continue d'être le document le plus ignoré en matière de conformité brésilienne en matière de confidentialité.

Les startups et les fintechs se sont développées rapidement et ont sous-traité la conformité à des cabinets d'avocats qui fournissaient la documentation sans transformer les processus internes. Le résultat est une conformité de premier ordre : des politiques bien rédigées, nommées DPO sur papier, et des pratiques internes qui n'ont pas changé.

L'écart entre « nous avons la politique » et « nous traitons les données de manière appropriée »

La véritable conformité ne commence pas au sein du service juridique. Cela commence par l'inventaire des données : savoir ce que l'entreprise collecte, où elle les stocke, combien de temps elle les conserve, qui y accède et avec qui elle les partage. La plupart des entreprises brésiliennes n’ont jamais réalisé cette cartographie de manière exhaustive. Ils ont fait ce qui était visible : mettre à jour la déclaration de confidentialité, ajouter une bannière de cookies, désigner un DPO.

Ce qui a été laissé de côté, c'est le travail technique : mettre en œuvre des contrôles d'accès basés sur les rôles pour les bases de données contenant des informations personnelles, créer des routines de suppression automatique à la fin de la période de conservation, garantir que les journaux d'accès aux données personnelles sont tenus et surveillés, créer des flux de réponse aux demandes des titulaires qui fonctionnent dans le délai légal de 15 jours. Il s’agit de processus d’ingénierie et d’exploitation, pas de communications, et ils nécessitent que les équipes technologiques comprennent aussi bien le droit que le juridique.

La preuve que la lacune est réelle apparaît dans les incidents signalés à l'ANPD : la majorité impliquent des systèmes qui devraient avoir des contrôles de sécurité de base mais ne l'ont pas fait, car l'entreprise n'a jamais traité les données personnelles comme un actif nécessitant une gestion spécifique.

Ce qui s'en vient : décisions automatisées et transferts internationaux

Deux thèmes dominent l'agenda réglementaire de l'ANPD pour 2026 et 2027. Le premier est la réglementation des décisions automatisées : l'article 20 de la LGPD garantit au titulaire le droit à un contrôle humain des décisions prises exclusivement par des algorithmes qui affectent ses intérêts. L'ANPD développe des normes spécifiques sur le sujet, avec un impact direct sur l'octroi de crédits, la tarification des assurances, la sélection des candidats dans les processus de sélection et la modération des contenus sur les plateformes. Les entreprises opérant selon ces modèles doivent préparer une documentation sur les critères utilisés – non pas comme un exercice rhétorique, mais comme un processus vérifiable.

Le deuxième thème est l’adéquation aux transferts internationaux de données. Le Brésil ne dispose pas encore de décision d'adéquation reconnue par l'Union européenne, ce qui limite la libre circulation des données entre les deux blocs. L'ANPD travaille sur des clauses contractuelles types qui permettront les transferts vers des pays sans niveau de protection équivalent à celui du Brésil, et les organisations qui opèrent avec des filiales ou des fournisseurs à l'étranger devront revoir leurs contrats dès la publication de la réglementation. Reporter cette analyse après sa publication garantit une précipitation inutile.

Comment préparer ce qui n'a pas encore été fait

Première priorité : compléter l'inventaire des données si celles-ci n'existent pas ou sont obsolètes. Il n'est pas possible de gérer ce qui n'est pas cartographié et l'ANPD a exigé ce document comme première étape de toute enquête. Deuxième priorité : revoir la chaîne des sous-opérateurs et s'assurer que les contrats avec les tiers qui reçoivent des données personnelles incluent les clauses requises par la loi. Troisième priorité : tester les processus de réponse aux titulaires : de nombreuses entreprises disposent du canal de contact, mais n'ont jamais simulé une demande de portabilité ou de suppression pour vérifier si elles pouvaient respecter le délai.