LGPD nel 2026: cosa è cambiato, cosa non è stato ancora rispettato e cosa arriverà

Dire che la tua azienda è "conforme alla LGPD" è diventato banale quanto dire che è "focalizzata sul cliente". La dichiarazione non costa nulla, è raramente verificata e quasi mai corrisponde alla realtà operativa. La differenza tra avere un documento di Informativa sulla privacy nel piè di pagina del sito web e trattare effettivamente i dati personali con controlli adeguati è enorme – e questa differenza inizia a farsi sentire. L’Autorità Nazionale per la Protezione dei Dati ha terminato il periodo di apprendimento e sta costruendo il registro delle ispezioni che definirà lo standard di applicazione in Brasile per i prossimi anni. Capire a che punto siamo nel 2026 significa, innanzitutto, comprendere la distanza tra ciò che è stato detto e ciò che è stato fatto.

Cosa ha fatto finora l'ANPD

L'ANPD ha iniziato gradualmente la sua attività sanzionatoria, il che ha generato nei primi anni l'errata percezione che l'organismo non avrebbe avuto la forza di imporre sanzioni. Questa diagnosi era sbagliata, appena all'inizio. Per tutto il 2024 e il 2025, l'Autorità ha consolidato i processi sanzionatori amministrativi in settori come la sanità, la finanza e la vendita al dettaglio digitale, con multe che hanno raggiunto il livello di 50 milioni di R$ nei casi più gravi: il tetto previsto dalla legge per infrazione è del 2% delle entrate in Brasile, limitato a 50 milioni di R$ per infrazione.

Più rilevante del valore nominale delle sanzioni è il modello delle violazioni prioritarie. L'ANPD non ha svolto controlli specifici. I casi più gravi riguardano l’assenza di una base giuridica per il trattamento, la condivisione di dati senza consenso informato e, soprattutto, incidenti di sicurezza non segnalati entro le 72 ore previste dalla normativa sugli incidenti pubblicata nel 2023. Quest’ultimo punto merita attenzione: l’obbligo di notifica esiste, la scadenza è nota, eppure le aziende continuano a segnalare gli incidenti con settimane di ritardo o solo su pressione degli utenti interessati.

Settori più esposti e perché

Sanità e finanza guidano la mappa dei rischi, non a caso. Questi sono i settori che elaborano volumi di dati sensibili, hanno un’ampia base di utenti e storicamente hanno costruito infrastrutture di dati concentrandosi sul business, non sulla governance. La combinazione di dati sanitari – una categoria particolarmente protetta dalla LGPD – con sistemi preesistenti senza adeguati controlli di accesso ha creato un profilo di rischio che l’ANPD ha identificato precocemente.

Nella vendita al dettaglio digitale, il problema è diverso. Non è tanto la sensibilità dei dati quanto la portata del trattamento e la catena di condivisione con terze parti: piattaforme multimediali, fornitori di CRM, strumenti di analisi, reti di affiliazione. Ogni integrazione è un vettore di rischio e la maggior parte delle aziende non dispone di una mappatura aggiornata di chi riceve quali dati. Il Rapporto sull’impatto della protezione dei dati personali – il RIPD – che la legge richiede per i trattamenti ad alto rischio continua a essere il documento più ignorato nel rispetto della privacy brasiliano.

Startup e fintech sono cresciute rapidamente e hanno esternalizzato la conformità a studi legali che hanno fornito documentazione senza trasformare i processi interni. Il risultato è una conformità di altissimo livello: policy ben scritte, nome DPO sulla carta e pratiche interne che non sono cambiate.

Il divario tra "noi seguiamo la policy" e "trattiamo i dati in modo appropriato"

La vera conformità non inizia nell’ufficio legale. Si inizia con l'inventario dei dati: sapere cosa raccoglie l'azienda, dove lo archivia, per quanto tempo lo conserva, chi vi accede e con chi lo condivide. La maggior parte delle aziende brasiliane non ha mai effettuato questa mappatura in modo completo. Hanno fatto ciò che era visibile: aggiornare l’informativa sulla privacy, aggiungere un cookie banner, nominare un DPO.

Ciò che è rimasto indietro è il lavoro tecnico: implementare controlli di accesso basati sui ruoli per i database con informazioni personali, creare routine di cancellazione automatica alla fine del periodo di conservazione, garantire che i registri di accesso ai dati personali siano mantenuti e monitorati, costruire flussi di risposta alle richieste del titolare che funzionino entro il termine legale di 15 giorni. Si tratta di processi tecnici e operativi, non di comunicazioni, e richiedono che i team tecnologici comprendano la legge oltre che gli aspetti legali.

La prova che il divario è reale appare negli incidenti segnalati all'ANPD: la maggior parte riguarda sistemi che dovrebbero avere controlli di sicurezza di base ma non li hanno, perché l'azienda non ha mai trattato i dati personali come un bene che richiede una gestione specifica.

Cosa ci aspetta: decisioni automatizzate e trasferimenti internazionali

Due temi dominano l'agenda normativa dell'ANPD per il 2026 e il 2027. Il primo è la regolamentazione delle decisioni automatizzate: l'articolo 20 della LGPD garantisce al titolare il diritto al controllo umano delle decisioni prese esclusivamente da algoritmi che influiscono sui suoi interessi. L’ANPD sta sviluppando standard specifici sull’argomento, con un impatto diretto sulla concessione di crediti, sui prezzi delle assicurazioni, sulla selezione dei candidati nei processi di selezione e sulla moderazione dei contenuti sulle piattaforme. Le aziende che operano secondo questi modelli devono preparare la documentazione dei criteri utilizzati, non come un esercizio retorico, ma come un processo verificabile.

Il secondo tema è l'idoneità per i trasferimenti internazionali di dati. Il Brasile non dispone ancora di una decisione di adeguatezza riconosciuta dall’Unione Europea, che limiti la libera circolazione dei dati tra i due blocchi. L'ANPD sta lavorando su clausole contrattuali standard che consentiranno trasferimenti verso paesi senza un livello di protezione equivalente a quello del Brasile, e le organizzazioni che operano con filiali o fornitori all'estero dovranno rivedere i loro contratti non appena il regolamento sarà pubblicato. Rimandare questa analisi fino a dopo la pubblicazione significa garantire una fretta inutile.

Come preparare ciò che non è stato ancora fatto

Priorità uno: completare l'inventario dei dati se non esiste o non è aggiornato. Non è possibile gestire ciò che non è mappato e l'ANPD ha richiesto questo documento come primo passo in qualsiasi indagine. Priorità due: rivedere la catena dei sub-operatori e garantire che i contratti con i terzi che ricevono dati personali includano le clausole previste dalla legge. Priorità tre: testare i processi di risposta ai titolari: molte aziende hanno il canale di contatto, ma non hanno mai simulato una richiesta di portabilità o cancellazione per verificare se riescono a rispettare la scadenza.