brazil-lgpd

ブラジルのLGPDコンプライアンス（Lei 13.709/2018）

概要

2018年8月14日にLei 13.709として制定され、2020年9月18日に施行されたLei Geral de Proteção de Dados Pessoais（LGPD）は、ブラジルの包括的なデータ保護法です（制裁の執行開始は2021年8月1日）。LGPDは、ブラジル国内で行われる個人データの処理、ブラジル国内に所在する個人への商品またはサービスの提供を目的とする処理活動、またはブラジル国内で収集された個人データに適用されます（第3条）。Autoridade Nacional de Proteção de Dados（ANPD）は、規則制定、執行、助言の各機能を担う監督機関です。

第7条に基づく10の適法な処理根拠

LGPDは、個人データの処理に関する10種類の法的根拠を定めており、EU GDPRの6つの適法な処理根拠を上回ります。各根拠は独立して適用され、組織は所定の優先順位に従うことなく、該当する根拠のいずれかに依拠できます。

1. データ主体の同意（第7条第I号）

第8条に基づく要件：

• 同意は、データ主体の自由意思に基づき、十分な情報を得たうえで、明確に表明された意思を示す書面またはその他の手段によって提供されなければなりません。
• 書面による同意は、他の契約条項とは別個の条項に記載されなければなりません（第8条第1項）。
• 同意を取得したことの立証責任は、管理者が負います（第8条第2項）。
• 誤解を招く情報に基づく同意、またはデータ主体に十分な情報が提供されていない場合の同意は無効です（第9条第1項）。
• データ主体は、明示的な意思表示により、無料かつ簡便な手続きで、いつでも同意を撤回できます（第8条第5項）。

Zenith Global Enterprisesにおける実施：

• ブラジルの顧客へのマーケティング連絡には、独立した同意条項によるオプトイン同意が必要です。
• 同意の記録は、タイムスタンプ、適用範囲、バージョンとともに同意管理プラットフォームに保存されます。
• 同意の撤回手段は、顧客プライバシーポータルから2回のクリックで利用できるようにします。
• 処理目的（マーケティング、プロファイリング、第三者との共有）ごとに、個別の同意を取得します。

2. 法令または規制上の義務の遵守（第7条第II号）

適用範囲：管理者がブラジル法に基づく法令または規制上の義務を遵守するために必要な処理です。Código Tributário Nacionalに基づく税務報告、Lei 9.613/1998に基づくマネーロンダリング対策、Consolidação das Leis do Trabalho（CLT）に基づく雇用記録の保存が含まれます。

Zenith Global Enterprisesにおける実施：

• 従業員の給与記録は、CTN第173条に基づき5年間保存します。
• 雇用記録は、雇用関係の継続期間に加えて5年間、CLT第11条に基づき保存します。
• マネーロンダリング対策の記録は、Lei 9.613/1998第10条に基づき、最終取引から5年間保存します。

3. 行政機関による公共政策の実施（第7条第III号）

適用範囲：法律、規則または契約で定められた公共政策を実施するために、行政機関が行う処理です。この根拠を利用できるのは行政機関のみであり、民間部門の組織には適用されません。

Zenith Global Enterprisesへの適用：民間部門の事業体であるため、適用されません。官民パートナーシップに参加する場合は、政府側のパートナーがこの根拠を適用します。

4. 研究機関による研究（第7条第IV号）

適用範囲：研究機関が調査を実施するための処理であり、可能な限り個人データを匿名化する必要があります。研究機関は特定の倫理基準を遵守し、該当する倫理委員会の監督を受ける必要があります。

Zenith Global Enterprisesへの適用：物流最適化に関する研究で学術機関と協力する場合、研究目的で共有するデータが匿名化または仮名化されていることを確認し、研究機関が管理者としての責任を負うようにします。

5. 契約の履行（第7条V）

適用範囲：データ主体からの要請に基づき、データ主体が当事者である契約の履行、または契約に関連する事前手続きに必要な処理です。

Zenith Global Enterprises における実施例：

• 貨物運送契約を履行するための、顧客の配送先住所、連絡先情報、支払い情報の処理
• 顧客が掛け払い条件を希望した場合の、契約締結前の信用評価に関する処理
• 雇用契約の履行に必要な従業員データの処理

6. 司法、行政、または仲裁手続きにおける権利の行使（第7条VI）

適用範囲：司法、行政、または仲裁手続きにおいて権利を適正に行使するために必要な処理です。訴訟または規制に関する手続きに必要な場合、個人データの保持と使用が認められます。

Zenith Global Enterprises における実施例：

• 係争中、または係争が予想される通関紛争に関連する顧客との通信記録および取引記録の保持
• Justiça do Trabalho（労働裁判所）で解雇が争われている場合の従業員の勤務評価記録の保全

7. 生命または身体の安全の保護（第7条VII）

適用範囲：データ主体または第三者の生命または身体の安全を保護するために必要な処理です。この根拠は、合理的に同意を取得できない真の緊急事態に限られます。

Zenith Global Enterprises における実施例：

• ブラジルの倉庫施設で職場事故が発生した際の、従業員の医療上の緊急情報の処理
• 道路輸送中の事故の際に、運転手の位置情報を緊急サービス機関と共有

8. 健康の保護（第7条VIII）

適用範囲：医療従事者、医療サービス、または保健当局が実施する手続きにおいてのみ、健康の保護に必要な処理です。この根拠は生命の保護に関する根拠よりも範囲が狭く、保健医療分野の関係者に限定されます。

Zenith Global Enterprises との関連性：会社が契約する産業医療機関が Norma Regulamentadora NR-7（PCMSO）に基づいて実施する産業保健関連の処理に限定されます。

9. 管理者または第三者の正当な利益（第7条IX）

第10条に基づく要件：

• 処理は、以下を含む具体的な状況に基づいた正当な目的のために行う必要があります。
  • （I）管理者の活動の支援および促進
  • （II）データ主体の保護、またはデータ主体の権利行使に関連してデータ主体に便益をもたらすサービスの提供
• 表明された目的に対して厳密に必要なデータのみを処理できます
• 管理者は、正当な利益に関する影響評価を含め、透明性確保のための措置を講じる必要があります
• ANPDから要請があった場合、管理者は Relatório de Impacto à Proteção de Dados Pessoais（RIPD）（LGPD における DPIA 相当の文書）を作成しなければなりません

Zenith Global Enterprises における実施例：

• パターン分析を使用した顧客の支払い取引における不正検知
• データ侵害を防ぐための、従業員のネットワーク利用状況に関する IT セキュリティ監視
• サービス品質を向上させるための顧客関係管理の分析
• 各ユースケースについて、次の3段階の比較衡量テストを用いて正当な利益の評価を文書化：（1）正当な目的、（2）必要性、（3）データ主体の権利との比較衡量

10. 信用保護（第7条、第X号）

適用範囲：信用スコアリングを含む、信用保護を目的とした処理です。この法的根拠はLGPD独自のものであり、GDPRに直接相当するものはありません。信用リスク評価、信用情報機関の業務、商業信用評価を目的とする処理が認められます。

Zenith Global Enterprisesにおける実施状況：

• 取引信用条件を申請する法人顧客の信用スコアリング
• Lei 12.414/2011（信用情報登録制度）に準拠した、支払い履歴の信用情報機関（Serasa Experian、SPC Brasil、Boa Vista）との共有
• 法定期間にわたる信用評価記録の保持

第11条に基づくセンシティブデータの処理

センシティブな個人データ（dados pessoais sensíveis）には、人種的または民族的出自、宗教的信念、政治的見解、労働組合への加入、健康データ、性生活、遺伝データ、生体データに関する情報が含まれます（第5条第II号）。

センシティブデータの処理には、第11条に定める8つの特定の法的根拠のいずれかが必要です。

1. データ主体による明示的かつ個別の同意
2. 法的義務の遵守（同意なし）
3. 公共政策の実施を目的とする、行政機関による共同処理
4. 研究機関による処理（可能な場合は匿名化）
5. 司法・行政・仲裁手続における権利の行使
6. 生命または身体の安全の保護
7. 医療行為における健康の保護
8. データ主体の識別プロセスにおける不正防止および安全確保

GDPRとの主な違い：LGPDでは、センシティブデータの処理における法的根拠として、正当な利益や契約の履行は含まれません。

データ保護責任者（Encarregado）の要件

任命（第41条）

管理者は、データ保護責任者（Encarregado pelo Tratamento de Dados Pessoais）を任命しなければなりません。ANPD決議CD/ANPD第2/2022号（決議CD/ANPD第18/2024号により改正）では、以下が定められています。

• 小規模な処理を行う事業者（agentes de tratamento de pequeno porte）は、正式なDPOの代わりに簡易な問い合わせ窓口を設けることができます
• DPOの氏名と連絡先を公開しなければなりません。公開場所は、管理者のウェブサイトが望ましいとされています
• ANPDは、DPOの資格に関する追加規則を定めることができます

DPOの職務（第41条第2項）

職務	説明
苦情の受付	データ主体からの苦情や連絡を受け付け、必要な措置を講じます
ANPDからの連絡の受付	ANPDとの連絡窓口として機能します
従業員への助言	データ保護の実務について、管理者の従業員および請負業者を指導します
その他の職務の遂行	管理者が定める、または補足規則に定められたその他の任務を遂行します

Zenith Global EnterprisesのDPO体制

項目	詳細
ブラジル担当DPO	Maria Fernanda Oliveira、コンプライアンスディレクター — サンパウロオフィス
公開情報	zenithglobal.com.br/privacidade および会社の Política de Privacidade に掲載
連絡窓口	[email protected] — 5営業日以内に受領確認
報告経路	チーフ・プライバシー・オフィサーに直接報告し、ブラジルのカントリーマネージャーにも間接的に報告

データ主体の権利（第17～22条）

権利の一覧

権利	LGPD 条文	対応期限	実施方法
処理の確認	Art. 18, I	簡易形式：直ちに、または15日以内。完全形式：15日以内	データインベントリシステムで自動照会
データへのアクセス	Art. 18, II	15日以内	プライバシーポータルを通じて、機械可読形式でデータをエクスポート
不完全、不正確、または古いデータの訂正	Art. 18, III	合理的な期間内	顧客ポータルでのセルフサービスによる訂正。従業員の訂正は人事システムを通じて実施
不要または過剰なデータの匿名化、ブロック、または削除	Art. 18, IV	合理的な期間内	自動削除ワークフロー。複雑なケースは手動で確認
データポータビリティ	Art. 18, V	ANPD の規則に従う	プライバシーポータルを通じて、構造化された JSON/CSV 形式でエクスポート
同意に基づいて処理されたデータの削除	Art. 18, VI	合理的な期間内	法定保存要件に従い、同意の撤回時に自動削除
共有されたデータに関する情報	Art. 18, VII	15日以内	データ共有登録簿から第三者の受領者を開示
同意を拒否した場合の影響に関する情報	Art. 18, VIII	収集時	プライバシー通知に、同意を提供しない場合の影響を記載
同意の撤回	Art. 18, IX	即時に有効	プライバシーポータルでワンクリックで撤回。処理は24時間以内に停止

自動化された意思決定の再審査を求める権利（Art. 20）

データ主体は、プロファイリングを含む、自動処理のみに基づいて行われ、その利益に影響を及ぼす意思決定について、再審査を求める権利を有します。管理者は、商業上および産業上の秘密に従いつつ、自動意思決定に用いる基準と手順に関する明確かつ十分な情報を提供しなければなりません。

ANPD Resolution CD/ANPD No. 2/2022 は、小規模な処理を行う事業者には簡易な説明を提供できる一方、すべての管理者は要請に応じて人による再審査を可能にしなければならないことを明確にしました。

Zenith Global Enterprises による実施：

• データ主体からの要請があった場合、自動化された信用スコアリングの意思決定に人による再審査のフラグを設定します
• 信用モデルの基準を文書化し、開示用の簡易形式で提供できるようにします
• 要請の受領から5営業日以内に人による審査担当者を割り当てます

国際データ移転の仕組み（Art. 33）

LGPD では、以下の条件に限り、個人データの国際移転が認められています。

仕組み	LGPD 条文	状況
十分な保護水準を備えた国または国際機関	Art. 33, I	2026年3月時点で、ANPD は十分性認定をまだ公表していません
ANPD が承認した標準契約条項	Art. 33, II(b)	ANPD Resolution CD/ANPD No. 19/2024 により標準契約条項が採択され、2025年8月から有効です
グローバル企業ルール（拘束的企業準則）	Art. 33, II(c)	ANPD はガイダンス案を公表していますが、BCR の正式な承認制度は未整備です
移転についての個別の同意	Art. 33, VIII	データ主体に移転の国際的性質を具体的に知らせた場合に限り有効です
法令または規制上の義務の遵守	Art. 33, IV	国境を越える規制報告に適用されます
契約の履行、または予備的な手続き（データ主体の要請に基づく場合）	Art. 33, V	データ主体との契約を履行するために必要な移転に適用されます
司法、行政、または仲裁手続における権利の行使	Art. 33, VI	訴訟支援のための移転に適用されます
生命または身体の安全の保護	Art. 33, VII	緊急時の移転
国際司法協力	Art. 33, III	相互の司法共助に適用されます

Zenith Global Enterprises の国際データ移転フレームワーク

データ移転フロー	移転先	移転手段	文書
顧客データのEU本社への移転	ドイツ	標準契約条項（ANPD承認済み）	SCC 登録簿の項目 BR-EU-001
従業員データの地域人事ハブへの移転	シンガポール	標準契約条項（ANPD承認済み）	SCC 登録簿の項目 BR-SG-001
決済データの決済処理業者への移転	米国	個別の同意＋補完的措置	同意記録＋TIA-BR-US-001
物流データのAPAC運用部門への移転	日本	標準契約条項（ANPD承認済み）	SCC 登録簿の項目 BR-JP-001

ANPD の執行フレームワーク

行政制裁（第52条）

制裁	詳細
警告	是正措置の期限を設定します
単純な罰金	違反ごとに、ブラジル国内の民間法人、グループ、またはコングロマリットの収益の最大2％。違反ごとに5,000万レアルを上限とします
日額罰金	5,000万レアルの上限を条件として、遵守を促すために科されます
違反の公表	違反の発生確認後に公表します
個人データのブロック	適正化されるまでブロックします
個人データの削除	違反に関連するデータを削除します
データベース運用の一部停止	最長6か月間。更新可能です
処理活動の停止	最長6か月間。更新可能です
処理活動の一部または全部の禁止	最も重い制裁です

ANPD の制裁算定規則（決議 CD/ANPD 第4号／2023年）

ANPD は、行政制裁の算定方法を定めた制裁算定規則を公表しました。主な要素は次のとおりです。

要素	重要度
違反の重大性	高 — 処理活動の性質、状況、期間
違反者の誠実さ	中 — 故意または過失を示す証拠
得られた、または得ようとした経済的利益	高 — 違反による金銭的利益
違反者の経済状況	中 — 支払い能力
再犯	高 — 過去5年以内の違反
損害の程度	高 — 影響を受けたデータ主体の数と結果の重大性
適正な慣行およびガバナンスの導入	軽減要素 — 文書化されたプライバシープログラム、DPO の任命、プライバシー影響評価
是正措置の導入	軽減要素 — 違反後の迅速な是正
違反と制裁の比例性	均衡要素

主な ANPD の執行措置

ANPD 行政手続第 00261.000489/2022-62 号（Telekall Infoservice）：

• ANPD が科した初の行政罰金（2023年7月）
• 違反内容：適法な根拠なく、政治キャンペーンのメッセージ送信に使用する WhatsApp の連絡先リストを提供
• 制裁：DPO の任命を怠ったことに対する警告、適法な根拠なく個人データを処理したことに対する14,400レアルの罰金
• 意義：零細企業であっても LGPD の基本要件を遵守しなければならないことを示しました

INSS のデータ共有に関する ANPD 行政手続（2023年）：

• ANPD は、Instituto Nacional do Seguro Social（INSS）による社会保障給付データの金融機関との共有を調査しました
• 適切な保護措置が実施されるまで、データ共有を停止するよう勧告しました
• 意義：ANPD が行政機関に対しても措置を講じる姿勢を示しました

LGPD データ保護影響評価（RIPD）

必要となる場合

第38条に基づき、ANPD は管理者に Relatório de Impacto à Proteção de Dados Pessoais（RIPD）の提出を求める場合があります。すべての処理活動で必須ではありませんが、次の場合には RIPD の実施を強く推奨します。

• 正当な利益に基づく処理（第10条第3項）
• センシティブデータの処理（第11条）
• 子どものデータの処理（第14条）
• 自動化された意思決定（第20条）
• 国際データ移転（第33条）

RIPD の内容（第 38 条、単独項）

要素	説明
処理活動の説明	収集するデータの種類、方法論、および処理操作
具体的な処理目的	一般的な説明を超えた詳細な目的の特定
法的根拠	適用される第 7 条または第 11 条の根拠の特定と正当化
データ保護措置	実施される技術的および組織的な保護措置
リスク分析	データ主体に対するリスクの特定と評価
リスク軽減措置	特定されたリスクに対処するための措置

Zenith Global Enterprises の RIPD 登録簿

RIPD 参照番号	処理活動	法的根拠	リスクレベル	最終更新日
RIPD-BR-001	顧客の信用スコアリングの自動化	第 7 条、X（信用保護）	高	2026 年 1 月
RIPD-BR-002	従業員の生体認証によるアクセス管理	第 11 条、I（個別の同意）	高	2025 年 11 月
RIPD-BR-003	マーケティング分析のプロファイリング	第 7 条、IX（正当な利益）	中	2025 年 12 月
RIPD-BR-004	EU 本社への国際移転	第 33 条、II(b)（SCC）	中	2026 年 2 月

コンプライアンスプログラム導入チェックリスト

フェーズ	アクション	ステータス	担当者
1. 基盤	Encarregado（DPO）を任命し、連絡先を公開する	完了	法務部門
1. 基盤	ブラジルの個人データを含むすべての処理活動をマッピングする	完了	プライバシーチーム
1. 基盤	各処理活動の適法な根拠を特定し、文書化する	完了	プライバシーチーム
2. 文書化	ポルトガル語の Política de Privacidade（プライバシーポリシー）を作成し、公開する	完了	法務＋マーケティング
2. 文書化	目的ごとに細分化した同意取得の仕組みを実装する	完了	IT＋プライバシーチーム
2. 文書化	第 38 条の要件に沿った RIPD テンプレートを作成する	完了	プライバシーチーム
3. 権利管理	ポルトガル語のデータ主体権利請求ポータルを実装する	完了	IT 開発
3. 権利管理	アクセス／確認請求に対する 15 日以内の応答ワークフローを確立する	完了	プライバシー運用
3. 権利管理	法的保全の例外を設けた自動削除ワークフローを設定する	完了	IT＋法務
4. 移転	国際移転のために ANPD 承認済みの標準契約条項を導入する	完了	法務＋移転チーム
4. 移転	すべての国際移転フローを移転登録簿に記録する	完了	プライバシーチーム
5. ガバナンス	LGPD コンプライアンス監査を年次で実施する	2026 年第 2 四半期に予定	内部監査
5. ガバナンス	ブラジルの全従業員に LGPD 要件について研修を実施する（年次）	2025 年分完了	人事＋プライバシーチーム
5. ガバナンス	新たな決議に関する ANPD の規制動向監視を確立する	実施中	法務＋プライバシーチーム