التعريف
Lei Geral de Proteção de Dados (LGPD) هو القانون رقم 13.709 الصادر في 14 أغسطس 2018، ودخل حيّز التنفيذ الكامل في 18 سبتمبر 2020، مع بدء تطبيق الغرامات في 1 أغسطس 2021. يُعدّ النسخة البرازيلية من GDPR الأوروبي، ويُنظّم أي عملية معالجة لبيانات شخصية تخصّ أفرادًا موجودين داخل البرازيل — بغضّ النظر عن موقع الشركة أو جنسيتها.
بالنسبة لتجّار DTC والكروس-بوردر، هذا يعني أمرًا واحدًا واضحًا: إذا كان لديك عميل برازيلي، فأنت خاضع لـ LGPD، حتى لو كان مستودعك في شنتشن أو دبي أو وارسو.
تشبيه عملي
تخيّل أنك تفتح متجرًا إلكترونيًا يبيع للبرازيل. LGPD ليست "ورقة امتثال" تُعلّق على الحائط، بل هي موظف استقبال صارم يقف على باب متجرك:
- يسأل كل زائر: من أنت؟ ولماذا تريد بياناته؟
- يسجّل كل عملية جمع، تخزين، مشاركة، أو حذف.
- يمنح العميل حقّ سحب الموافقة في أي لحظة، تمامًا كما يسحب مشتري سلّة التسوّق.
- وإذا أهملت التعليمات، يحرّر لك فاتورة قد تصل إلى 50 مليون ريال برازيلي لكل مخالفة.
الصيغة الرقمية للامتثال
الامتثال الكامل = (أساس قانوني مشروع) + (إشعار شفّاف) + (أمن تقني) + (استجابة لحقوق صاحب البيانات خلال 15 يومًا)
الغرامة القصوى تُحسب كالتالي:
الغرامة = min(2% من إيرادات الشركة في البرازيل للسنة المالية السابقة, 50,000,000 BRL) لكل مخالفة
أرقام يجب حفظها:
| البند | الرقم |
|---|---|
| رقم القانون | 13.709/2018 |
| بدء سريان الغرامات | 1 أغسطس 2021 |
| سقف الغرامة لكل مخالفة | 50,000,000 ريال برازيلي |
| نسبة الإيرادات | 2% من إيرادات البرازيل |
| مهلة الردّ على طلب صاحب البيانات | 15 يومًا |
| مهلة الإبلاغ عن خرق البيانات | "فترة معقولة" (عمليًا 72 ساعة) |
جدول المقارنة: LGPD مقابل GDPR مقابل PIPL
| المعيار | LGPD (البرازيل) | GDPR (الاتحاد الأوروبي) | PIPL (الصين) |
|---|---|---|---|
| سنة الإصدار | 2018 | 2016 | 2021 |
| الجهة الرقابية | ANPD | EDPB + DPAs | CAC |
| سقف الغرامة | 50M BRL أو 2% | 20M EUR أو 4% | 50M CNY أو 5% |
| أساس النقل الدولي | قرار كفاية + SCCs | قرار كفاية + SCCs | تقييم أمني + عقد قياسي |
| حقوق صاحب البيانات | 9 حقوق | 8 حقوق | 7 حقوق |
| الإبلاغ عن الخرق | "فترة معقولة" | 72 ساعة | فوري |
| تمثيل محلي مطلوب | نعم (لغير المقيمين) | نعم (في بعض الحالات) | نعم |
ملاحظة للدروبشيبينغ: الفرق الجوهري أن LGPD تطلب ممثلًا محليًا (Encarregado/DPO) في البرازيل إذا كنت تبيع هناك دون كيان قانوني محلّي. هذا شرط يُغفله كثير من التجّار.
سيناريوهات التطبيق في DTC
1. متجر شوبيفاي يبيع للبرازيل
- جمع البريد الإلكتروني عند الاشتراك في النشرة = يحتاج موافقة صريحة.
- Pixel فيسبوك + TikTok = يحتاج إفصاحًا في سياسة الخصوصية.
- إذا لم تُعيّن DPO محلي، أنت في خطر.
2. تطبيق كوبونات وولاء
- كل نقطة ولاء مرتبطة بهوية العميل = بيانات شخصية.
- يجب تمكين الحذف عند الطلب دون تعقيد.
3. الشحن واللوجستيات
- مشاركة عنوان العميل مع شركة شحن برازيلية = مشاركة بيانات، تحتاج أساسًا قانونيًا.
- الاحتفاظ ببيانات التتبّع أكثر من اللازم = مخالفة لمبدأ تقليل البيانات.
4. التسويق بالبريد والواتساب
- إرسال عروض دون opt-in = مخالفة مباشرة.
- رسائل واتساب التسويقية تحتاج موافقة منفصلة عن موافقة الشراء.
5. تحليلات وذكاء اصطناعي
- تدريب نموذج على بيانات العملاء = معالجة، تحتاج إفصاحًا.
- القرارات الآلية تحتاج حق المراجعة البشرية.
أخطاء شائعة
1. "أنا لست في البرازيل، إذًا لا يخصّني القانون." — خطأ. LGPD تتبع صاحب البيانات لا الشركة.
2. "سياسة الخصوصية المترجمة من الإنجليزية كافية." — لا. يجب أن تكون بالبرتغالية وبصياغة واضحة.
3. "الموافقة عند التسجيل تغطّي كل شيء." — لا. كل غرض يحتاج موافقة منفصلة.
4. "لا نحتفظ بالبيانات، فقط نمرّرها للشحن." — التمرير نفسه معالجة.
5. "ANPD لن تلاحق شركة صغيرة." — الغرامات بدأت فعلًا، والمنافسون يبلّغون.
6. "حذف الحساب = حذف البيانات." — غالبًا لا، بسبب نسخ احتياطية وبيانات مالية.
7. "لا نحتاج DPO." — إذا عالجت بيانات بحجم معتبر أو بيانات حسّاسة، فأنت تحتاج.
مصطلحات مرتبطة
- ANPD — السلطة الوطنية لحماية البيانات، الجهة الرقابية.
- Encarregado (DPO) — مسؤول حماية البيانات، إلزامي في حالات كثيرة.
- Dado Pessoal — بيانات شخصية.
- Dado Sensível — بيانات حسّاسة (صحة، دين، أصل، سياسة).
- Titular — صاحب البيانات.
- Consentimento — الموافقة.
- Legítimo Interesse — المصلحة المشروعة، أساس قانوني بديل.
- Transferência Internacional — النقل الدولي للبيانات.
- Incidente de Segurança — خرق أمني.
- Relatório de Impacto (RIPD) — تقييم أثر حماية البيانات.
خلاصة تنفيذية لتاجر DTC
إذا كنت تبيع للبرازيل، فإن LGPD ليست خيارًا تسويقيًا بل شرط تشغيلي. ابدأ بثلاث خطوات:
1. عيّن Encarregado (يمكن أن يكون خارجيًا عبر خدمة متخصّصة).
2. أعد كتابة سياسة الخصوصية بالبرتغالية مع أساس قانوني لكل غرض.
3. ابنِ سجلّ معالجة (ROPA) يوضّح من يجمع ماذا، ولماذا، وإلى أين يُنقل.
الامتثال يكلّف أقل بكثير من غرامة 50 مليون ريال برازيلي — وهذا ليس رقمًا نظريًا، بل سقف قانوني فعلي لكل مخالفة.