LGPD: qué es un dato personal y cuáles son los derechos del titular

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La Ley 13.709/2018 (LGPD, Ley General de Protección de Datos Personales de Brasil) establece un sistema de protección que parte de una definición amplia de dato personal para, a partir de ella, reconocer al titular un conjunto de derechos exigibles frente a controladores y operadores. Comprender el alcance de este concepto y el contenido de tales derechos es indispensable para entender las obligaciones que pesan sobre empresas, organismos públicos y profesionales que manejan información de terceros.

Qué clasifica la LGPD como dato personal

El artículo 5º, inciso I, de la Ley 13.709/2018 define el dato personal como «información relacionada con una persona natural identificada o identificable». La amplitud de la definición es deliberada: abarca no solo el nombre, el CPF (Registro de Personas Físicas de Brasil) o el domicilio, sino cualquier elemento que, por sí solo o combinado con otros, permita vincularlo a un individuo determinado o determinable.

Dentro de este espectro se incluyen la dirección IP, el número de matrícula funcional, el identificador de dispositivo móvil, la geolocalización y el historial de navegación. El criterio central no es el formato de la información ni el soporte en que se registra, sea digital o físico, sino su capacidad de identificar a una persona.

La ley distingue además los llamados datos personales sensibles, enumerados en el inciso II del mismo artículo: datos sobre origen racial o étnico, convicción religiosa, opinión política, afiliación sindical, salud, vida sexual, y datos genéticos o biométricos. Este grupo recibe un tratamiento más restrictivo, que exige bases legales específicas y, por regla general, un consentimiento calificado del titular.

Tratamiento de datos, controlador y operador

El concepto de tratamiento es deliberadamente extenso en la LGPD. El artículo 5º, inciso X, incluye toda operación realizada con datos personales: recolección, producción, recepción, clasificación, utilización, acceso, reproducción, transmisión, distribución, procesamiento, archivo, almacenamiento, eliminación, evaluación, control, modificación, comunicación, transferencia, difusión o extracción. La amplitud de esta lista pone de manifiesto que casi toda interacción con información personal queda sujeta a la ley.

La legislación identifica dos agentes centrales en esta cadena. El controlador es la persona natural o jurídica que toma las decisiones sobre el tratamiento, definiendo sus finalidades y medios. El operador es quien realiza el tratamiento en nombre del controlador, siguiendo sus instrucciones. Ambos responden por el cumplimiento de las normas, aunque en grados distintos de responsabilidad civil y administrativa.

La fiscalización corresponde a la Autoridad Nacional de Protección de Datos (ANPD), órgano federal encargado de dictar reglamentos, investigar infracciones y aplicar sanciones que van desde la advertencia hasta una multa de hasta el 2% de la facturación de la persona jurídica en su último ejercicio, con un tope de cincuenta millones de reales por infracción, conforme al artículo 52 de la ley.

El dato personal no pertenece a quien lo recolecta: pertenece al titular, y la ley garantiza los instrumentos para que esa titularidad se ejerza de manera efectiva frente a cualquier controlador.

Los derechos del titular y cómo ejercerlos

El artículo 18 de la Ley 13.709/2018 enumera los derechos del titular de datos personales: confirmación de la existencia de tratamiento; acceso a los datos; corrección de datos incompletos, inexactos o desactualizados; anonimización, bloqueo o eliminación de datos innecesarios o tratados en incumplimiento de la ley; portabilidad a otro proveedor; eliminación de los datos tratados con consentimiento; información sobre las comunicaciones de datos realizadas a terceros; información sobre la posibilidad de no otorgar el consentimiento; y revocación del consentimiento en cualquier momento.

Estos derechos pueden ejercerse mediante solicitud directa al controlador, quien debe responder en un plazo razonable y de forma gratuita. Por regla general, la ley prohíbe cobrar por la atención de la solicitud. Cuando esta sea excesiva o de mala fe, el controlador puede cobrar una tasa, pero debe justificar su decisión.

Sin embargo, el derecho a la eliminación de datos no es absoluto. Cuando el tratamiento se funda en una base legal distinta del consentimiento, como el cumplimiento de una obligación legal, el ejercicio regular de un derecho en un proceso judicial o la protección del crédito, el controlador puede conservar los datos incluso frente a una solicitud de supresión, siempre que presente al titular una justificación adecuada, conforme al párrafo 3º del artículo 18.

Preguntas frecuentes

¿Cualquier información sobre una persona se considera dato personal según la LGPD?

Sí, siempre que permita identificar a la persona natural o hacerla identificable. También encajan en el concepto previsto en el artículo 5º, inciso I, las informaciones que, aisladas, no individualizan a nadie, pero que combinadas con otros datos permiten esa identificación. El criterio es la capacidad de identificación, no la naturaleza intrínseca de la información.

¿La LGPD se aplica solo a empresas de tecnología o de gran tamaño?

No. La ley alcanza a cualquier persona natural o jurídica, de derecho público o privado, que realice tratamiento de datos personales en el territorio brasileño, con independencia del sector de actividad, del tamaño o del soporte utilizado. Las pequeñas empresas, los profesionales independientes y los organismos públicos están sujetos a las mismas reglas generales, con algunas adaptaciones previstas en los reglamentos de la ANPD para microempresas y empresas de pequeño porte.

¿Puede el titular exigir la eliminación de sus datos en cualquier momento?

El derecho a la eliminación existe, pero admite excepciones expresas en la ley. Cuando el tratamiento se basa en una obligación legal o regulatoria, en el ejercicio regular de un derecho en un proceso judicial, administrativo o arbitral, o en un interés legítimo del controlador, los datos pueden conservarse incluso después de una solicitud de supresión. En esos casos, el controlador debe informar al titular la base legal que justifica la conservación, en los términos del artículo 18, párrafo 3º, de la Ley 13.709/2018.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.