LGPD due anni dopo: cosa è veramente cambiato nelle aziende brasiliane

L’ipotesi più confortante che circolava nel mercato brasiliano dopo che la LGPD si era radicata era che le aziende, di fronte alla minaccia concreta di una multa, avrebbero fatto ciò che era necessario fare. Due anni di applicazione attiva dimostrano che questo presupposto era sbagliato, non perché le aziende siano negligenti, ma perché la conformità adottata dalla maggior parte delle persone era progettata per apparire sufficiente, non per funzionare effettivamente.

Cosa hanno effettivamente fatto le aziende

Il movimento più visibile era superficiale per definizione. I banner sui cookie hanno proliferato. Le politiche sulla privacy sono state riscritte in un linguaggio che pochi leggono e ancora meno capiscono. I moduli hanno ottenuto caselle di controllo del consenso. Il DPO – una posizione richiesta dalla legge – è stato nominato, in molti casi, come ruolo aggiuntivo per un avvocato già oberato di lavoro o un analista IT che non aveva una formazione specifica.

Ciò che non è avvenuto, sulla stessa scala, è stato il lavoro invisibile che è alla base di ogni vero programma sulla privacy: la mappatura dei dati. Sapere quali dati personali raccoglie l’azienda, dove vengono archiviati, per quanto tempo vengono conservati, chi ha accesso e con quali terze parti vengono condivisi è alla base di tutto. Senza questo inventario, qualsiasi risposta ad una richiesta principale è un esercizio di improvvisazione. Senza di essa, la risposta a un incidente di sicurezza si trasforma in caos. La maggior parte delle aziende brasiliane di medie dimensioni è arrivata al 2026 senza aver completato questa mappatura.

Ciò che l'ANPD ha rivelato con i suoi interventi

Il Garante nazionale per la protezione dei dati personali non si è presentato con il rigore immediato che alcuni si aspettavano, il che, paradossalmente, ha alimentato l’atteggiamento del minimo sforzo. Le prime sanzioni sono state applicate con criteri pedagogici: importi inferiori al tetto legale, comunicazioni che privilegiavano l’orientamento prima della punizione. Ciò è stato interpretato da molte aziende come un segno che la finestra di impunità era lunga.

Le azioni dell'ANPD hanno tuttavia evidenziato chiari schemi di priorità. Gli incidenti di sicurezza con la fuga di un volume significativo di dati personali hanno ricevuto attenzione immediata. Le aziende dei settori finanziario e sanitario, che trattano categorie sensibili, sono state esaminate in modo più rigoroso. L'assenza di un canale funzionale per le richieste dei titolari è diventata un frequente motivo di indagine. Ciò che l’autorità non ha perseguito, almeno non in modo sistematico, è stata la qualità del consenso o la completezza dei dati sui trattamenti, proprio ciò che la maggior parte delle aziende ha trascurato.

Questa attenzione selettiva ha creato un incentivo perverso: bastava avere un canale di servizio che rispondesse entro i termini e un cookie banner, e il rischio immediato di sanzioni cadeva. La vera conformità, che richiede una governance dei dati end-to-end, è stata considerata troppo zelante.

Ciò che distingue la compliance reale da quella estetica

Le aziende che hanno svolto il lavoro vero hanno costruito tre cose che gli altri non hanno. Innanzitutto, un registro aggiornato delle operazioni di elaborazione: non un documento statico consegnato per l'audit, ma un inventario vivente che tiene traccia delle modifiche ai sistemi e ai flussi di dati. In secondo luogo, un processo operativo per rispondere agli interessati: quando qualcuno richiede l'accesso, la correzione o la cancellazione dei propri dati, c'è un flusso definito con SLA e persona responsabile, non una casella di posta elettronica dimenticata. In terzo luogo, gestione di terze parti: i contratti con i fornitori che trattano dati personali sono stati rivisti, sono state incluse clausole DPA ed esiste almeno un certo livello di verifica periodica che questi fornitori mantengano controlli adeguati.

Nessuna di queste tre cose appare sul sito web dell'azienda. Nessuno è visibile all'utente finale. Per questo motivo rappresentano il criterio più onesto per distinguere chi si è conformato da chi si è impegnato nel teatrino normativo.

Il peso che assumeranno gli incidenti

Il Brasile ha avuto perdite significative durante questo periodo. La mega fuga di notizie del 2021, con oltre 220 milioni di registrazioni, aveva ancora cause che non furono mai completamente chiarite pubblicamente. Altri incidenti minori – presso aziende sanitarie, piattaforme di e-commerce, sistemi di gestione delle buste paga – hanno dimostrato che i vettori di attacco non sono sofisticati: credenziali esposte, database senza autenticazione, API senza controllo degli accessi.

La legge sulla conformità cosmetica verrà presentata quando l'ANPD inizierà a indagare sulla risposta delle aziende a questi incidenti, non solo sull'incidente stesso. La norma impone la comunicazione all'autorità e ai titolari interessati entro un termine ragionevole. Richiede che l’azienda sappia esattamente quali dati sono stati compromessi e chi ne è il proprietario. Senza l’inventario dei dati che la maggioranza non ha effettuato, questa risposta è impossibile da fornire con qualità – e la mancanza di qualità nella risposta tende ad aggravare, non a mitigare, la situazione normativa.

Cosa fare adesso, con ciò che esiste

Per le aziende che riconoscono di operare nel campo della conformità cosmetica, il punto di partenza non è rifare tutto, ma stabilire onestamente le priorità. La mappatura dei dati può iniziare dai sistemi più critici e dai trattamenti a più alto rischio, non dall’intera azienda contemporaneamente. Il DPO ha bisogno di reale autorità, accesso alla leadership e risorse minime per funzionare: se la persona nominata non soddisfa queste condizioni, la nomina è solo burocratica.

L’esame dei contratti con i fornitori di tecnologia merita un’attenzione particolare perché è lì che spesso si concentra il rischio: elaborazione dati in cloud, sistemi CRM, piattaforme di analisi, strumenti di marketing automation. Ciascuno di questi fornitori è un operatore ai sensi della LGPD e la responsabilità per ciò che fanno con i dati spetta al responsabile del trattamento.