Lei Geral de Proteção de Dados

定義

Lei Geral de Proteção de Dados（LGPD） は、ブラジル連邦法第13.709号として2018年8月に公布され、2020年9月に施行された包括的な個人データ保護法制です。EUのGDPRを主要な参照モデルとしつつ、ブラジル特有の法体系・消費者保護文化・行政執行構造に適合させた設計になっています。

DTC/越境EC事業者の視点で最も重要なポイントは域外適用（extraterritorial scope）です。ブラジル国内に法人格がなくても、①ブラジル在住者の個人データを処理している、②ブラジル国内で商品・サービスを提供している、③ブラジル国内で収集されたデータを処理している——いずれかに該当すればLGPDの適用対象となります。つまり、日本からブラジル向けにD2Cサイトを運営し、現地顧客の氏名・住所・決済情報・行動ログを取得している時点で、原則としてLGPD遵守義務が生じます。

所管当局はANPD（Autoridade Nacional de Proteção de Dados）であり、ガイドライン策定・制裁・国際協力の権限を持ちます。

類比：GDPRの「親戚」だが、運用はブラジル流

LGPDを日本語のDTC実務に落とすなら、「GDPRに似た土台を持ちながら、消費者庁・個人情報保護委員会・行政制裁の運用がブラジル向けに調整された法律」と捉えるのが実態に近いです。

たとえば、GDPRでは「Data Protection Officer（DPO）」が中心概念ですが、LGPDではEncarregado（エンカルレガード）と呼ばれる責任者を置く設計です。役割は似ていますが、ANPDへの届出・公表・連絡窓口としての実務が異なります。また、GDPRの「正当な利益」に相当するlegítimo interesseは存在しますが、ブラジルでは消費者保護法（CDC）との整合が強く問われ、マーケティング目的での適用は慎重に見られます。

EC実務でいうと、GDPR対応で「Cookie同意」「プライバシーポリシー」「DPA締結」「越境移転」を整えた企業が、LGPDでも同じ棚卸しを使える部分は多い。ただし、ポルトガル語での通知・同意取得・問い合わせ対応が実務上ほぼ必須になるため、英語GDPR対応のコピーをそのまま流用すると顧客体験と法令遵守の両面で穴が出ます。

公式・実務フレーム

LGPDの基本処理原則は、GDPRと同様に「適法性・目的限定・最小化・正確性・透明性・安全性・説明責任」に整理できます。DTC/ECで特に使う処理根拠は次の通りです。

処理根拠	ポルトガル語	DTC/ECでの典型例
同意	consentimento	メルマガ登録、行動ターゲティング広告、Cookie
契約履行	execução de contrato	注文処理、配送、返品、決済
法的義務	obrigação legal	請求書保存、税務、消費者保護対応
正当な利益	legítimo interesse	不正検知、簡易なサイト改善（限定付き）
生命・健康保護	proteção da vida	緊急連絡（通常ECでは稀）

越境移転は、十分性認定・標準契約条項（SCC）・拘束的企業準則（BCR）・特定の同意などで対応します。日本企業がブラジル顧客データを日本本社サーバーで処理する場合、この越境移転ルールの設計が必須です。

データ主体の権利には、確認、訂正、匿名化・ブロック・削除、ポータビリティ、同意撤回、自動意思決定のレビューなどが含まれます。ANPDは、請求から15日以内の対応を求める運用を示しており、GDPRの1か月より短い点は実務上の重要差分です。

制裁は、警告、是正命令、1件あたり売上高の2%、上限5,000万レアル、日次制裁金などがあります。2023年以降、ANPDは小規模事業者向けの簡易規則も整備していますが、DTCで月商が大きい場合は通常規則の対象と考えた方が安全です。

比較表：LGPD vs GDPR vs 日本の個人情報保護法

項目	LGPD（ブラジル）	GDPR（EU）	個人情報保護法（日本）
施行	2020年9月	2018年5月	2017年改正、2022年改正
域外適用	あり	あり	あり（限定）
責任者	Encarregado	DPO	個人情報保護管理者（任意）
権利請求対応	原則15日	原則1か月	原則2週間〜1か月
制裁上限	売上2%、5,000万レアル	売上4%、2,000万ユーロ	1億円以下等
同意の要件	特定・明確・目的明示	自由・特定・明確	特定・明確
越境移転	ANPD規則・SCC等	十分性・SCC等	同意・基準適合体制等

応用シーン：DTC/ECでの具体対応

1. ブラジル向けD2Cサイトの会員登録

氏名、CPF（税務番号）、住所、決済情報、購入履歴を取得。同意画面はポルトガル語で、目的を「注文処理」「配送」「カスタマーサポート」「マーケティング」に分けて取得します。マーケティング同意を注文完了画面に埋め込むと、自由な同意と見なされにくくなります。

2. 広告・CRM配信

Meta広告、Google広告、Klaviyo等にブラジル顧客リストを連携する場合、処理根拠と越境移転を確認。同意撤回リンクは全配信に反映される必要があります。

3. カスタマーサポート

問い合わせ対応で本人確認を行う際、CPFの全桁をメールで求める運用はリスク。ANPDは過剰取得を問題視します。必要最小限の確認に留めます。

4. 決済・不正検知

決済会社・不正検知SaaSとのデータ処理契約（DPA）を締結。与信目的の処理は契約履行または正当な利益で整理しますが、マーケティング転用は不可です。

5. データ侵害

個人データ漏えい時は、ANPDおよびデータ主体への通知を検討。GDPR同様、72時間ルールに近い迅速対応が求められます。

よくある誤解

- 「ブラジルに会社がなければLGPDは関係ない」 → 誤り。ブラジル在住者のデータを処理し、ブラジル市場に提供していれば適用されます。

- 「GDPR対応済みならLGPDも自動的にOK」 → 誤り。Encarregado、ポルトガル語通知、15日対応、ANPD規則、CDCとの整合が別途必要です。

- 「同意さえ取れば何でも使える」 → 誤り。目的限定・最小化・撤回対応が伴わなければ不十分です。

- 「Cookieバナーを出せば十分」 → 誤り。タグ管理、同意ログ、撤回反映、ベンダー移転まで一貫設計が必要です。

- 「小規模ECなら制裁対象外」 → 誤り。ANPDは小規模向け簡易規則を設けていますが、適用除外ではありません。