Định nghĩa
Lei Geral de Proteção de Dados (LGPD) – Luật số 13.709/2018 – là khung pháp lý toàn diện về bảo vệ dữ liệu cá nhân của Brazil, có hiệu lực từ 18/09/2020. LGPD được xây dựng dựa trên nền tảng GDPR của EU nhưng có những điều chỉnh riêng phù hợp với bối cảnh pháp lý và văn hóa Brazil.
Điểm then chốt: LGPD có hiệu lực ngoài lãnh thổ (extraterritorial). Bất kỳ doanh nghiệp DTC/ nào – dù đặt trụ sở tại Việt Nam, Trung Quốc hay Mỹ – chỉ cần xử lý dữ liệu của cá nhân đang ở Brazil hoặc cung cấp hàng hóa/dịch vụ cho người tiêu dùng Brazil đều thuộc phạm vi điều chỉnh.
Cơ quan giám sát là ANPD (Autoridade Nacional de Proteção de Dados), có quyền xử phạt tới 2% doanh thu toàn cầu, tối đa 50 triệu BRL (~10 triệu USD) cho mỗi vi phạm.
Analogy
Hãy hình dung LGPD như "hộ chiếu dữ liệu" khi bạn bán hàng vào Brazil:
- GDPR = visa Schengen (khắt khe, phạm vi EU)
- LGPD = visa Brazil (cũng khắt khe, nhưng có "cửa sổ" linh hoạt hơn cho SME)
- CCPA (California) = giấy phép lái xe bang – chỉ áp dụng trong bang
Nếu bạn vận hành một shop Shopify bán mỹ phẩm cho khách ở São Paulo, thu thập email, số điện thoại, địa chỉ giao hàng – bạn đang xử lý dữ liệu cá nhân theo định nghĩa LGPD. Không có "hộ chiếu dữ liệu" hợp lệ = rủi ro bị ANPD chặn hoặc phạt.
Công thức & Ngưỡng tuân thủ
Công thức tính mức phạt tối đa:
Mức phạt = min(2% × Doanh thu toàn cầu năm trước, 50.000.000 BRL)
Ví dụ cụ thể với 3 con số thực tế:
| Tình huống | Doanh thu toàn cầu | 2% doanh thu | Mức phạt thực tế |
|---|---|---|---|
| Shop DTC nhỏ | 500.000 USD (~2,7 triệu BRL) | 54.000 BRL | **54.000 BRL** |
| Mid-market brand | 10 triệu USD (~54 triệu BRL) | 1,08 triệu BRL | **1,08 triệu BRL** |
| Enterprise | 500 triệu USD (~2,7 tỷ BRL) | 54 triệu BRL | **50 triệu BRL** (trần) |
Ngưỡng kích hoạt LGPD:
- Xử lý dữ liệu cá nhân của bất kỳ cá nhân nào ở Brazil (không phân biệt quốc tịch)
- Thu thập dữ liệu qua website, app, cookie, form đăng ký
- Chuyển dữ liệu ra nước ngoài (cross-border transfer)
Bảng so sánh: LGPD vs GDPR vs CCPA
| Tiêu chí | LGPD (Brazil) | GDPR (EU) | CCPA (California) |
|---|---|---|---|
| **Ngày hiệu lực** | 18/09/2020 | 25/05/2018 | 01/01/2020 |
| **Cơ quan giám sát** | ANPD | EDPB + DPA quốc gia | CPPA |
| **Phạt tối đa** | 2% DT toàn cầu / 50 triệu BRL | 4% DT toàn cầu / 20 triệu EUR | 7.500 USD / 7.500 USD (cố ý) |
| **Cơ sở pháp lý** | 10 căn cứ (Điều 7) | 6 căn cứ (Điều 6) | Opt-out + notice |
| **DPO bắt buộc** | Có (Điều 41) | Có (Điều 37) | Không |
| **Quyền xóa dữ liệu** | Có (Điều 18) | Có (Điều 17) | Có (opt-out) |
| **Chuyển dữ liệu xuyên biên giới** | Cần ANPD phê duyệt / SCC | Cần SCC / adequacy | Không hạn chế |
| **Thông báo vi phạm** | "Thời gian hợp lý" | 72 giờ | "Không chậm trễ" |
Ứng dụng trong DTC/
1. Thu thập dữ liệu khách hàng
Khi chạy Facebook Ads nhắm đến Brazil, bạn bắt buộc phải có:
- Cơ sở pháp lý rõ ràng (thường là consent – Điều 7, khoản I)
- Cookie banner bằng tiếng Bồ Đào Nha, có nút "Aceitar" và "Recusar" ngang hàng
- Privacy Policy bằng tiếng Bồ Đào Nha, ghi rõ mục đích xử lý
2. Checkout & thanh toán
Cổng thanh toán như Pix, Boleto, Mercado Pago yêu cầu thu thập CPF (mã số thuế cá nhân). CPF là dữ liệu cá nhân nhạy cảm theo LGPD – cần mã hóa khi lưu trữ và không được chia sẻ cho bên thứ ba nếu không có consent.
3. Email marketing
Gửi email cho khách Brazil mà không có opt-in rõ ràng = vi phạm. Tỷ lệ chuyển đổi email DTC tại Brazil trung bình 1,8% (so với 2,5% ở Mỹ) – nhưng nếu vi phạm LGPD, bạn có thể mất toàn bộ danh sách.
4. Vận chuyển & logistics
Chia sẻ địa chỉ, số điện thoại khách hàng cho đối tác giao hàng (Correios, Loggi) được coi là xử lý dữ liệu – cần có hợp đồng xử lý dữ liệu (DPA) với đối tác.
5. Chuyển dữ liệu về Việt Nam
Nếu bạn lưu dữ liệu khách Brazil trên server tại Việt Nam, cần:
- Standard Contractual Clauses (SCC) theo mẫu ANPD
- Hoặc chứng nhận adequacy (hiện Việt Nam chưa có)
- Hoặc consent cụ thể từ khách hàng
(Hiểu lầm thường gặp)
❌ Sai: "Tôi không có công ty ở Brazil nên không cần tuân thủ LGPD."
✅ Đúng: LGPD áp dụng ngoài lãnh thổ. Chỉ cần khách hàng ở Brazil, bạn thuộc phạm vi.
❌ Sai: "Chỉ cần copy Privacy Policy từ GDPR là đủ."
✅ Đúng: LGPD có 10 căn cứ pháp lý (GDPR chỉ 6), yêu cầu DPO, và cơ chế chuyển dữ liệu khác biệt. Phải viết lại bằng tiếng Bồ Đào Nha.
❌ Sai: "Dữ liệu ẩn danh (anonymous) không bị LGPD điều chỉnh."
✅ Đúng: LGPD áp dụng cho cả pseudonymized data nếu có thể tái nhận dạng. Chỉ dữ liệu thực sự ẩn danh mới được miễn.
❌ Sai: "Tôi có 72 giờ để báo vi phạm như GDPR."
✅ Đúng: LGPD yêu cầu thông báo "trong thời gian hợp lý" – ANPD có thể quy định cụ thể sau, hiện tại khuyến nghị không quá 72 giờ.
❌ Sai: "Không cần DPO nếu công ty nhỏ."
✅ Đúng: ANPD có thể yêu cầu DPO tùy quy mô và loại dữ liệu. Tốt nhất nên chỉ định Encarregado (DPO) ngay từ đầu.
❌ Sai: "Cookie banner chỉ cần nút 'OK'."
✅ Đúng: Phải có lựa chọn từ chối (Recusar) ngang hàng, không được dùng dark pattern.
(Thuật ngữ liên quan)
- ANPD – Autoridade Nacional de Proteção de Dados (Cơ quan Bảo vệ Dữ liệu Quốc gia Brazil)
- Titular dos dados – Chủ thể dữ liệu (cá nhân sở hữu dữ liệu)
- Controlador – Bên kiểm soát dữ liệu (quyết định mục đích xử lý)
- Operador – Bên xử lý dữ liệu (thực hiện xử lý thay controlador)
- Encarregado (DPO) – Nhân viên bảo vệ dữ liệu
- Dados sensíveis – Dữ liệu nhạy cảm (sức khỏe, tôn giáo, sinh trắc học, CPF)
- Consentimento – Sự đồng ý (phải tự nguyện, cụ thể, thông báo đầy đủ)
- Legítimo interesse – Lợi ích chính đáng (một trong 10 căn cứ pháp lý)
- Relatório de Impacto (RIPD) – Báo cáo đánh giá tác động bảo vệ dữ liệu
- Transferência internacional – Chuyển dữ liệu xuyên biên giới
- Incidente de segurança – Sự cố bảo mật (phải thông báo ANPD)
- GDPR – Luật Bảo vệ Dữ liệu EU (nền tảng tham chiếu của LGPD)
- CCPA/CPRA – Luật Bảo vệ Dữ liệu California (so sánh thường dùng)
- Marco Civil da Internet – Luật Dân sự Internet Brazil (nền tảng trước LGPD)
Tóm lại: LGPD không phải "GDPR phiên bản Brazil" đơn thuần. Đây là luật có hiệu lực thực thi mạnh, áp dụng cho mọi doanh nghiệp DTC chạm đến người tiêu dùng Brazil. Tuân thủ từ đầu rẻ hơn nhiều so với mức phạt tối đa 50 triệu BRL – và quan trọng hơn, nó bảo vệ uy tín thương hiệu của bạn tại thị trường Latinh lớn nhất.