L'hypothèse la plus confortable qui a circulé sur le marché brésilien après l'implantation de la LGPD](/post/lgpd-startups-compliance-protecao-dados) était que les entreprises, confrontées à la menace concrète d'une amende, feraient ce qu'il fallait faire. Deux années d’application active montrent que cette hypothèse était fausse – non pas parce que les entreprises sont négligentes, mais parce que la plupart des mesures de conformité mises en œuvre étaient conçues pour paraître suffisantes et non pour fonctionner réellement.
Ce que les entreprises ont réellement fait
Le mouvement le plus visible était par définition superficiel. Les bannières de cookies ont proliféré. Les politiques de confidentialité ont été réécrites dans un langage que peu de gens lisent et encore moins comprennent. Les formulaires ont obtenu le consentement des cases à cocher. Le DPO – un poste requis par la loi – a été nommé, dans de nombreux cas, comme rôle supplémentaire pour un avocat déjà surchargé de travail ou un analyste informatique qui n'avait pas de formation spécifique.
Ce qui n’a pas eu lieu, à la même échelle, c’est le travail invisible qui sous-tend tout véritable programme de protection de la vie privée : la cartographie des données. Savoir quelles données personnelles l'entreprise collecte, où elles sont stockées, combien de temps elles sont conservées, qui y a accès et avec quels tiers elles sont partagées est la base de tout. Sans cet état des lieux, toute réponse à une demande principale est un exercice d'improvisation. Sans cela, répondre à un incident de sécurité se transforme en chaos. La majorité des entreprises brésiliennes de taille moyenne ont atteint 2026 sans avoir réalisé cette cartographie.
Ce que l'ANPD a révélé avec ses actions
L’Autorité nationale de protection des données n’est pas arrivée avec la rigueur immédiate que certains attendaient, ce qui, paradoxalement, a alimenté la position d’effort minimum. Les premières sanctions ont été appliquées avec des critères pédagogiques : montants inférieurs au plafond légal, communications privilégiant l’orientation avant la punition. Cela a été interprété par de nombreuses entreprises comme le signe que la période d’impunité était longue.
Les actions de l'ANPD ont toutefois révélé des priorités claires. Les incidents de sécurité entraînant une fuite d’un volume important de données personnelles ont reçu une attention immédiate. Les entreprises des secteurs de la finance et de la santé, qui s'adressent à des catégories sensibles, ont été scrutées de manière plus rigoureuse. L’absence de canal fonctionnel pour les demandes des titulaires est devenue un déclencheur fréquent d’enquête. Ce que les autorités n’ont pas recherché, du moins pas systématiquement, c’est la qualité du consentement ou l’exhaustivité des dossiers de traitement – précisément ce que de plus en plus d’entreprises ont négligé.
Cette orientation sélective a créé une incitation perverse : il suffisait de disposer d'un canal de service répondant dans les délais et d'une bannière de cookies pour supprimer le risque immédiat de sanctions. La véritable conformité, qui nécessite une gouvernance des données de bout en bout, est devenue considérée comme trop zélée.
Qu'est-ce qui différencie la conformité réelle de la conformité cosmétique
Les entreprises qui ont fait le vrai travail ont construit trois choses que d’autres n’ont pas. Premièrement, un enregistrement à jour des opérations de traitement : il ne s'agit pas d'un document statique soumis à un audit, mais d'un inventaire évolutif qui suit les modifications apportées aux systèmes et aux flux de données. Deuxièmement, un processus opérationnel pour répondre aux personnes concernées : lorsqu'une personne demande l'accès, la rectification ou la suppression de ses propres données, il y a un flux défini avec SLA et le responsable, pas une boîte e-mail oubliée. Troisièmement, la gestion par des tiers : les contrats avec les fournisseurs qui traitent des données personnelles ont été examinés, des clauses DPA ont été incluses et il existe au moins un certain niveau de vérification périodique pour que ces fournisseurs maintiennent des contrôles adéquats.
Aucune de ces trois choses n'apparaît sur le site Web de l'entreprise. Aucun n'est visible pour l'utilisateur final. Pour cette raison, ils constituent le critère le plus honnête pour distinguer ceux qui se sont conformés à ceux qui se sont engagés dans un théâtre réglementaire.
Le poids que prendront les incidents
Le Brésil a connu des fuites importantes durant cette période. La méga-fuite de 2021, avec plus de 220 millions d’enregistrements, avait toujours des causes qui n’ont jamais été pleinement clarifiées publiquement. D'autres incidents plus mineurs — dans des entreprises de soins de santé, sur des plateformes de commerce électronique, sur des systèmes de paie — ont montré que les vecteurs d'attaque ne sont pas sophistiqués : informations d'identification exposées, bases de données sans authentification, API sans contrôle d'accès.
Le projet de loi sur la conformité cosmétique apparaîtra lorsque l'ANPD commencera à enquêter sur la réponse des entreprises à ces incidents, et pas seulement sur l'incident lui-même. La loi impose une communication à l'autorité et aux porteurs concernés dans un délai raisonnable. Cela nécessite que l’entreprise sache précisément quelles données ont été compromises et à qui elles appartiennent. Sans l’inventaire des données que la majorité n’a pas réalisé, cette réponse est impossible à apporter avec qualité – et le manque de qualité de la réponse tend à aggraver, et non à atténuer, la situation réglementaire.
Que faire maintenant, avec ce qui existe
Pour les entreprises qui reconnaissent qu'elles sont dans le domaine de la conformité cosmétique, le point de départ n'est pas de tout refaire, mais d'établir honnêtement des priorités. La cartographie des données peut commencer par les systèmes les plus critiques et les traitements les plus risqués, et non par l'ensemble de l'entreprise en même temps. Le DPO a besoin d’une véritable autorité, d’un accès au leadership et d’un minimum de ressources pour fonctionner. Si la personne nommée ne remplit pas ces conditions, la nomination est simplement bureaucratique.
La révision des contrats avec les fournisseurs de technologies mérite une attention particulière car c’est là que se concentrent souvent les risques : traitement des données cloud, systèmes CRM, plateformes d’analyse, outils d’automatisation du marketing. Chacun de ces prestataires est un opérateur au sens de la LGPD et la responsabilité de ce qu'ils font avec les données incombe au responsable du traitement.
Ce que le marché exigera dans les années à venir – de la part des partenaires, des fournisseurs et des plateformes – c’est la preuve que la conformité a du contenu. La pression viendra moins de l’ANPD que des chaînes d’approvisionnement elles-mêmes, à mesure que les entreprises ayant des activités internationales commenceront à exiger des démonstrations concrètes de conformité. Celui qui a réalisé le travail aura cette preuve. Ceux qui n’ont fait que du théâtre devront le faire pour de vrai, plus tard et plus vite.
A lire aussi
- LGPD en 2026 : ce qui a changé, ce qui n'est pas encore respecté et ce qui s'en vient
- LGPD dans les applications : Guide de conformité
- Résidence des données : ce que signifie en pratique garantir que les données restent au Brésil
- LGPD dans les startups : stratégies de conformité et de protection des données
- Conformité numérique : Guide de conformité pour les produits numériques
- Conformité numérique : comparaison en pratique